Angepasste Malware-Payloads


Cyberspionage mit möglicherweise russischem Hintergrund auch gegen Behörden in Deutschland
Supply-Chain-Attacken mit kompromittierten Word-Dokumenten anderer Behörden - Verlagerung der Aktionen in Zentralasien nach Mittel- und Westeuropa


Laut aktuellen Beobachtungen der Bitdefender Labs zielt die Gruppe UAC-0063 mit ihren Spionage-Attacken nun verstärkt auf Behörden, darunter wahrscheinlich auch Botschaften in Europa. Unter anderem in Deutschland, Großbritannien, den Niederlanden und Rumänien. Die Belege der ursprünglich auf Zentralasien gerichteten Aktivitäten nach Mittel- und Westeuropa zeigen die Kompetenz der Angreifer sowie ihre Flexibilität, mit ihrem Vorgehen den sich entwickelnden geopolitischen Spannungen zu folgen.

Die Gruppe mit möglicherweise russischem Hintergrund war mit einer komplexen Supply-Chain-Attacke zunächst vor allem in Zentralasien aktiv. Für den Erstzugang zu den Netzen der eigentlich ausgesuchten Ziele verwenden die Angreifer Microsoft-Word-Dokumente, die sie im Vorfeld von anderen Opfern erbeutet haben. Die kompromittierten Versionen der Dokumente schicken sie an die eigentlichen Ziele, um dort den HATVIBE-Malware-Loader zu installieren. Dabei nutzen sie URL-Links anstatt direkt angefügter Anhänge, um E-Mail-Security Gateways zu umgehen.

Die Angreifer von UAC-0063 bedienen sich angepasster Malware-Payloads wie den in C++ geschriebenen DownEx (C++) oder den in Python – alias CherrySpy – programmierten DownExPyer. Diese bösartigen Tools sind vor allem dafür ausgerichtet, Daten zu sammeln sowie zu exfiltrieren und einen persistenten Zugang in ein Behördennetz einzurichten. Die Wartung der dafür genutzten Infrastruktur und die fortlaufende Manipulation neuer Dokumente deuten darauf hin, dass die Cyberspionage-Kampagne weiter aktiv ist.

Möglicher russischer Hintergrund
Die Experten der Bitdefender-Labs attribuieren die Aktivitäten der vom ukrainischen Computer Emergency Response Team (CERT-UA) "UAC-0063" benannten Gruppe. Laut CERT-UA gibt es Hinweise für eine Verbindung von UAC-0063 mit der russischen Cyberspionage-Gruppe APT28 (BlueDelta). Aktivitäten von UAC 0063 beobachtet Bitdefender seit 2022.

Eine ausführliche Analyse der Aktivitäten unter: https://www.bitdefender.com/en-us/blog/businessinsights/uac-0063-cyber-espionage-operation-expanding-from-central-asia .
(Bitdefender: ra)

eingetragen: 17.02.25

Bitdefender: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Cyber-Angriffe

  • Aufgaben einer DORA-Compliance lösen

    Der Digital Operational Resilience Act (DORA), welcher am 17. Januar 2025 in Kraft getreten ist, betrifft nicht nur Anbieter von Finanzdiensten, sondern auch deren IT-Dienstleister: Dazu gehören sowohl Partner und Distributoren, aber auch indirekte IT-Dienstanbieter, wie die Anbieter von IT-Sicherheitsplattformen. Der Kreis der Unternehmen, für die sich aus dem Gesetz neue Hausaufgaben ergeben, ist also größer als vermutet. Für alle ist DORA aber eine Chance, die Resilienz ihrer IT-Infrastruktur gegen Cyberangriffe jetzt zu erhöhen.

  • DSGVO und NIS2 gehen Hand in Hand

    Sieben Jahre ist es her, dass die DSGVO in Kraft getreten ist. Damit startete 2018 der Trend, IT-Prozesse strenger zu regulieren. Mit NIS2 führt die EU diesen Kurs resolut weiter, die Bundesregierung arbeitet an der Umsetzung und hat erst jüngst einen Referentenentwurf des BMI von Ende Juni 2025 bekanntgegeben. Auch wenn offen ist, wie NIS2 hierzulande ein Gesetz wird, das Ziel ist bereits klar: Die Infrastrukturen und digitalen Prozesse in Unternehmen sollen widerstandsfähiger sein. Ein langer Weg und Vorarbeit lohnen sich. Wer die Maßgaben der DSGVO schon jetzt entschlossen und zielstrebig verfolgt hat, um Datensicherheit und Datenschutz zu berücksichtigen, hat es leichter, wenn NIS2 auf die Agenda rückt.

  • Finanzieller Schaden und Reputationsverlust

    Die benutzerfreundliche Plattform von Instagram hat die Art und Weise stark verändert, wie Unternehmen mit ihren (potenziellen) Kunden in Kontakt treten. Diese Zugänglichkeit hat jedoch auch eine erhebliche Schwachstelle geschaffen: Instagram-Imitationen, eine wachsende Bedrohung, welche die Finanzen und den guten Ruf von Unternehmen ernsthaft gefährdet.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen