Sie sind hier: Startseite » IT Security » Cyber-Angriffe & Sicherheitslecks

Hybride russische Spionage- und Einflusskampagne

Russische Kampagne soll ukrainische Militärrekruten kompromittieren und Anti-Mobilisierungsnarrativen verbreiten
Aus handwerklicher Sicht ist die UNC5812-Kampagne sehr charakteristisch für den Schwerpunkt, der bei Russland auf der geistigen Beeinflussung durch Cyber-Kampagnen liegt

Im September 2024 entdeckte die Google Threat Analysis Group (TAG) und Mandiant "UNC5812", eine mutmaßliche hybride russische Spionage- und Beeinflussungskampagne. Diese verbreitet Windows- und Android-Malware über eine Telegram-Persona namens "Civil Defense". "Civil Defense" gibt vor, ein Anbieter kostenloser Softwareprogramme zu sein, die es potenziellen Wehrpflichtigen ermöglichen, die Standorte ukrainischer Militär-Recruiter zu sehen und mit anderen zu teilen. Wenn diese Programme bei deaktiviertem Google Play Protect installiert werden, liefern sie dem Opfer eine betriebssystemspezifische Commodity-Malware-Variante zusammen mit einer Mapping-Anwendung, die wir als SUNSPINNER identifizieren.

Die Akteure hinter UNC5812 nutzen sowohl den Telegram-Kanal als auch die Website für die Verbreitung von Malware. Darüber hinaus betreibt die Gruppe über beide Kanäle auch aktiv Einflussnahme, indem sie ihr Narrativ verbreitet und um Inhalte bittet, die die Unterstützung für die Mobilisierungsaktivitäten der Ukraine untergraben können.

Die hybride Spionage- und Informationsoperation von UNC5812 gegen potenzielle ukrainische Militärrekruten zeigt das gesteigerte Interesse russischer Bedrohungsakteure nach den Änderungen an den ukrainischen Mobilisierungsgesetzen im Jahr 2024. Insbesondere die Angriffe auf potenzielle Militärrekruten nach der Einführung der nationalen digitalen Militär-ID der Ukraine, mit der die Daten der Wehrpflichtigen verwaltet werden und die Rekrutierung angekurbelt werden soll, haben an Bedeutung gewonnen. In Übereinstimmung mit den Untersuchungen von EUvsDisinfo beobachten wir auch weiterhin, dass pro-russische Akteure Botschaften verbreiten, die die Mobilisierungsbemühungen der Ukraine untergraben und das Misstrauen der Öffentlichkeit gegenüber den ausführenden Beamten schüren sollen.

Aus handwerklicher Sicht ist die UNC5812-Kampagne sehr charakteristisch für den Schwerpunkt, der bei Russland auf der geistigen Beeinflussung durch Cyber-Kampagnen liegt. Die Operation unterstreicht zudem die herausragende Rolle, die Messaging-Apps weiterhin bei der Verbreitung von Malware und anderen Aktivitäten in Russlands Krieg gegen die Ukraine spielen. Wir gehen davon aus, dass Telegram, solange es eine wichtige Informationsquelle während des Krieges ist, mit ziemlicher Sicherheit ein Hauptvektor für cybergestützte Aktivitäten für eine Reihe von Spionage- und Beeinflussungsaktivitäten mit russischer Beteiligung bleiben wird. (Mandiant: ra)

eingetragen: 10.12.24
Newsletterlauf: 13.02.25

Mandiant: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Cyber-Angriffe

Signatur ist nicht gleich Signatur
Geraten digitale Prozesse immer wieder ins Stocken, weil etwas unterzeichnet werden muss? Dann wird es Zeit, eine moderne Signaturlösung in die eigenen Abläufe zu integrieren. Bereits seit den 1970er Jahren wird immer wieder das papierlose Büro prognostiziert. Lange haben sich diese Prognosen eher als Papiertiger erwiesen, doch heute sind wir näher an der Umsetzung als je zuvor. In Zeiten von Tablets, 5G-Konnektivität und KI-Assistenten sind Ausdrucke für die meisten Büroangestellten eher zu einer Last geworden. Ganz verschwunden sind sie dennoch nicht und dafür sorgt nicht selten das Nadelöhr Unterschrift. Oft brechen an diesem Punkt Prozesse ab, die ansonsten vollständig digital ablaufen.
Identity Lifecycle Management
Wirtschaftliche Veränderungen wirken sich auf nahezu alle Unternehmensbereiche aus. Immer betroffen ist die Belegschaft: Prosperiert ein Unternehmen, stellt es Leute ein, in Zeiten der Rezession versucht es durch Personalentlassungen Kosten einzusparen. In jedem Konjunkturzyklus, sei es Expansion, Rezession oder Erholung, entstehen durch personelle Fluktuation spezifische Herausforderungen für die Verwaltung von Mitarbeiter-, Kunden- und Partner-Identitäten - und somit auch für die IT-Sicherheit. Denn nicht mehr benötigten Nutzerkonten müssen Zugriffsrechte entzogen, neu angelegten solche gewährt werden und das alles in Einklang mit Unternehmens- und Compliance-Richtlinien. Den Lebenszyklus einer digitalen Identität zu verwalten, wird als Identity Lifecycle Management bezeichnet.
Datenklau als primäres Ziel
Das Damoklesschwert Ransomware ist nicht neu, aber es schlägt immer etwas anders aus. Große Akteure wie LockBit und ALPHV/BlackCat sind scheinbar passé, doch in entstehende Lücken drängen neue, noch nicht etablierte Gruppen. Die Ransomware-as-a-Service (RaaS)-Gruppen revidieren zudem ihre interne Arbeitsaufteilung und -organisation. Selbst Staaten wie Russland und Nordkorea entdecken Ransomware als Einnahmequelle.

Spyware über Telegram verbreitet Infostealer-Malware auf Suche nach Zugangsdaten