Hintertür mit Tiefenwirkung: : APT28 infiltriert NATO-Zulieferer : Wie Skripte, verdeckte Tunnel und ein neuer Speicher-Loader militärische Netze bedrohen
Ein präpariertes Dokument öffnet die Tür, ein versteckter Browser holt Befehle, ein Tunnel erschließt das interne Netz: APT28 kombiniert einfache Werkzeuge mit gezielten Eingriffen. Der Angriff auf einen Marineschiffbauer zeigt, wie aus einer infizierten Arbeitsstation ein dauerhafter Spionagezugang wird.
Die Russland zugerechnete Spionagegruppe APT28 hat Organisationen in zwei Mitgliedstaaten der NATO angegriffen. Betroffen waren ein Marineschiffbauer, ein Hersteller militärischer Flugzeugtriebwerke und eine Strafverfolgungsbehörde. Symantec verfolgt die Aktivitäten unter dem Begriff Swallowtail; weitere Bezeichnungen sind BlueDelta, Fancy Bear und Forest Blizzard. Die Ziele verfügen mutmaßlich über nachrichtendienstlich relevante Informationen.
Einstieg: Hintertür durch Word-Makros
Der Angriff beginnt mit Word-Dokumenten, die schädliche Makros enthalten; werden diese aktiviert, installieren sie HOOKEDGE. Diese Hintertür besteht aus einem einfachen Windows-Skript: Sie nimmt Befehle der Angreifer entgegen, führt sie auf dem infizierten Rechner aus und übermittelt die Ergebnisse zurück. Recorded Future beobachtete solche Angriffe zwischen September 2025 und April 2026 gegen Regierungsstellen und diplomatische Einrichtungen in Rumänien, Spanien und der Türkei. Die technische Analyse zeige deutliche Gemeinsamkeiten im Programmcode und in der Vorgehensweise mit der älteren Schadsoftware HEADLACE.
Zur Kommunikation nutzt HOOKEDGE zunächst den legitimen Internetdienst webhook.site. Die Angreifer hinterlegen dort Befehle, die der infizierte Rechner über Microsoft Edge abruft. Dazu öffnet die Schadsoftware ein Browserfenster außerhalb des sichtbaren Bildschirmbereichs; für Benutzer bleibt dieser Vorgang daher verborgen. Die Ergebnisse der ausgeführten Befehle werden ebenfalls über webhook.site zurückgesendet. Weil dabei ein legitimer Dienst verwendet wird, lässt sich der schädliche Datenverkehr anhand der angesprochenen Internetadresse allein schwerer erkennen.
Beim angegriffenen Schiffbauer kam später eine weitere HOOKEDGE-Variante zum Einsatz. Sie kommunizierte direkt mit dem Angreiferserver unter der IP-Adresse 185.82.218[.]119:443. Über diese Verbindung empfing sie neue Befehle und sendete deren Ergebnisse zurück.
Ausbreitung: Tunnel ins Netz und abgegriffene Authentifizierung
Laut Symantec griffen die Angreifer eine Woche lang immer wieder auf den bereits infizierten Rechner zu und führten dort gezielt Befehle aus. Die Untersuchung des Vorfalls habe gezeigt, wie sie ihren Zugang ausbauten: Sie hinterlegten einen geheimen kryptografischen Schlüssel (Private Key) auf dem Rechner und nutzten ihn, um eine verschlüsselte Verbindung zu ihrem eigenen Server aufzubauen. Über diesen Tunnel auf Basis von Secure Shell (SSH) konnten sie anschließend vom Angreiferserver aus über den infizierten Rechner auf das interne Netz zugreifen.
Zusätzlich setzten die Angreifer ein PowerShell-Skript ein, das auf dem Rechner eine lokale Empfangsstelle einrichtete. Anschließend brachten sie das System dazu, sich dort über das Anmeldeverfahren NT LAN Manager (NTLM) zu authentifizieren. Das Skript zeichnete die dabei ausgetauschten Anmeldedaten auf: Diese enthalten zwar kein lesbares Passwort, können aber dazu dienen, mögliche Passwörter durch automatisiertes Ausprobieren zu überprüfen.
Verschlüsselte Nutzlast bleibt unbekannt
Mit dem Datenübertragungswerkzeug curl brachten die Angreifer außerdem das zuvor nicht dokumentierte Programm ld.exe auf den Rechner – dieser sogenannte Loader hat die Aufgabe, weiteren Schadcode zu laden und auszuführen. Dazu entschlüsselt er eine Datei direkt im Arbeitsspeicher; den erforderlichen Schlüssel erhält er erst beim Programmstart. Ohne diesen Schlüssel bleibt der verschlüsselte Inhalt verborgen und kann nicht ausgeführt werden – das erschwert die Untersuchung.
Auch Symantec konnte die verschlüsselte Datei nicht sicherstellen. Welche Funktionen der darin enthaltene Schadcode hatte, bleibt deshalb offen. Noch am 24. September 2026 wurde im Netzwerk ein Skript beobachtet, das zum Starten von HOOKEDGE dient. Ob tatsächlich Daten gestohlen wurden, ist nicht bestätigt.
„Die nach dem ersten Eindringen beobachteten Methoden – der Diebstahl von Anmeldedaten mit zwei voneinander unabhängigen Techniken, ein dauerhaft eingerichteter Netzwerktunnel und ein bislang undokumentiertes Ladeprogramm – gehen über das bisher öffentlich beschriebene Einschleusen der Schadsoftware in dieser Kampagne hinaus“, erklärte Symantec.
Ukraine: Smartphones und Webmail unter Beschuss
Das Computer Emergency Response Team of Ukraine (CERT-UA) beschreibt überdies in einer Lageanalyse zunehmende Angriffe auf Smartphones von Militärangehörigen und Regierungsmitarbeitern durch russiche Gruppen. Für das erste Halbjahr 2026 registrierte es 3137 Cybervorfälle, rund 8 % mehr als im vorherigen Halbjahr.
Das iOS-Exploit-Kit DarkSword wird etwa über kompromittierte Nachrichten- und Regierungsseiten verbreitet. Solche Watering-Hole-Angriffe präparieren Websites, die die Zielgruppe regelmäßig besucht. Für Android nennt CERT-UA zwei Angriffskomplexe:
- UAC-0244 verbreitet CAMELSPY: Die Schadsoftware sammelt Systeminformationen, Standortdaten, Angaben zur SIM-Karte, Kontakte, Anruflisten und Bilder aus der Galerie.
- UAC-0263 verbreitet BTMOB RAT: Dieser Remote-Access-Trojan (RAT) ermöglicht die Kontrolle des infizierten Geräts und den Abfluss von Daten.
APT28 nutzte zudem CVE-2026-21509 zur Umgehung einer Office-Sicherheitsfunktion und zur Verteilung von COVENANT. Über die ohne Benutzerinteraktion ausnutzbare Schwachstelle CVE-2026-8496 in SOGo Webmail wurden Postfachzugänge und Daten abgegriffen. Zugleich bleiben laut CERT-UA „ältere, bewährte – aber leider weiterhin wirksame – Ansätze“ relevant: Cross-Site-Scripting (XSS) gegen Roundcube und Excel-Makros zur Verbreitung von COVENANT. Weitere Einzelheiten enthalten die Analysen der ukrainischen Behörde.
Weitere Steuerungsserver für LegionRelay entdeckt
Unabhängig davon hat Team Cymru fünf zusätzliche Steuerungsserver (Command&Control-Server, C2) für LegionRelay identifiziert, das ebenfalls im Zusammenhang mit Attacken auf ukrainische Organisationen stehe: 91.149.221[.]118:8000, 91.149.221[.]123:8000, 166.88.239[.]54:8000, 194.87.108[.]12:8000, 194.87.108[.]217:8000.
Der PowerShell-basierte RAT könne Dateien auflisten und ausleiten, Bildschirmaufnahmen erstellen, Browserdaten sowie Daten aus Telegram und WhatsApp stehlen sowie Zugänge über das Remote-Desktop-Protocol (RDP) einrichten. Er wird GREYVIBE zugerechnet, einer seit mindestens August 2025 gegen ukrainische Ziele aktiven Gruppe.