Kaspersky: Drei Gruppen greifen russische Firmen mit Backdoors an

Kaspersky hat drei separate Bedrohungsaktivitätscluster beschrieben, die russische Unternehmen mit Backdoors, Ransomware und datenlöschender Malware angreifen. Die Cluster, die als NightEagle, Hacking Cat und Toy Ghouls verfolgt werden, nutzen gestohlene VPN-Zugangsdaten, Microsoft-Exchange-Schwachstellen und selbst entwickelte Malware, um sich durch Unternehmensnetzwerke zu bewegen.

NightEagle, auch bekannt als APT-Q-95, ist mindestens seit 2023 aktiv. In den meisten Vorfällen nutzten die Angreifer kompromittierte gültige Zugangsdaten, um Zugang zu Unternehmens-VPNs zu erhalten – verschlüsselte Verbindungen, die Remote-Mitarbeitern den Zugriff auf interne Systeme ermöglichen. Diese VPN-Verbindungen stammten von IP-Adressen, die mit Cloudflare-WARP-Tunneln in Verbindung stehen, sowie von Adressen, die europäischen virtuellen Infrastrukturanbietern zugeordnet sind. Einmal eingedrungen, setzte die Gruppe eine modulare Backdoor namens GhostContainer auf Microsoft-Exchange-Servern ein. Eine Backdoor ist ein versteckter Weg für einen Angreifer, später wieder in ein System zu gelangen. GhostContainer gibt seinen Betreibern vollständigen Zugriff auf einen Exchange-Server des Opfers, sodass sie beliebigen Code ausführen, Dateioperationen durchführen und zusätzliche Module laden können. Es tarnt sich als gängige Serverkomponente und kann auch als Tunnel oder Datenverkehrsumleiter fungieren. Kaspersky merkt an, dass die Malware Teile aus Open-Source-Projekten wie Neo-reGeorg, einen Exploit für CVE-2020-0688 und die GhostWebShell-Klasse aus ysoserial enthält, die alle öffentlich auf GitHub verfügbar sind.

Kaspersky gibt an, dass die genaue Methode zur Zustellung von GhostContainer an Exchange-Server unbekannt ist. Der Anbieter glaubt, dass die Angreifer kryptografische Schlüssel aus der ASP.NET-Konfiguration des Servers extrahierten, den VIEWSTATE-Framework-Parameter überschrieben und eine Nutzlast injizierten, sodass die Backdoor im Speicher gestartet wurde. Zur lateralen Bewegung lud NightEagle Tunnelwerkzeuge herunter, um den Netzwerkverkehr über das Remote Desktop Protocol umzuleiten, wobei Microsoft Dev Tunnels und ein Open-Source-Programm namens rdp2tcp verwendet wurden. Für erhöhte Privilegien nutzte die Gruppe Schwachstellen in Active Directory aus, dem Microsoft-Dienst, der Benutzerkonten und Berechtigungen verwaltet. Dazu gehörte CVE-2019-0708, auch bekannt als BlueKeep, um ein lokales Konto zu erstellen und es den Gruppen Administratoren und Remote Desktop Users hinzuzufügen. Die Angreifer versuchten auch einen DCSync-Angriff, um sich als Domänencontroller auszugeben, den Server, der Benutzer authentifiziert und Sicherheitsrichtlinien durchsetzt. Das Endziel ist persistenter Zugriff, gestohlene Passwort-Hashes für Domänenkonten und langlebige Kerberos-Tickets, damit die Angreifer Domänencontroller und die gesamte Active-Directory-Infrastruktur erreichen können.

Hacking Cat ist eine pro-ukrainische Hacktivistengruppe mit einer Geschichte von Website-Defacements und Datenlecks seit Februar 2024, die jedoch kürzlich zu Verschlüsselungs- und Zerstörungsangriffen übergegangen ist. Kaspersky sagt, die Gruppe arbeite mit anderen hacktivistischen Crews wie Cyber Anarchy Squad und der Ukrainian Cyber Alliance zusammen, was die Zuordnung bestimmter Tools zu bestimmten Angreifern erschwert. Hacking Cat hat Microsoft-Exchange-Schwachstellen wie CVE-2021-26855 und CVE-2026-42897 weaponisiert, um einen Go-basierten Remote-Access-Trojaner namens Gorilla RAT zu verbreiten. Ein Remote-Access-Trojaner, oder RAT, ist ein Programm, das einem Angreifer die Fernsteuerung eines Computers ermöglicht. Gorilla RAT kann Datenverkehr tunneln, sodass der Betreiber das interne Netzwerk des Opfers erreicht. Nach dem Start verbindet es sich mit einem Remote-Server, registriert das Opfer und wartet auf Anweisungen, um Befehle auszuführen, Prozesse aufzulisten, Systeminformationen zu sammeln, Dateien hoch- oder herunterzuladen und einen TCP-Tunnel zu öffnen oder zu schließen. Dieselbe Gruppe verbreitet auch mehrere Varianten einer Ransomware-Familie namens Monkey, geschrieben in Rust, .NET, C++ und Golang, die auf Windows-, Linux- und VMware-ESXi-Systeme abzielt. Das früheste Monkey-Ransomware-Artefakt stammt aus dem Spätsommer 2025. Die Malware beendet unnötige Prozesse und behindert die Systemwiederherstellung vor der Verschlüsselung.

Kaspersky beschreibt die Monkey-Varianten im Detail. Eine Rust-basierte Version generiert einen 32-Byte-Schlüssel und verschlüsselt Opferdateien mit ChaCha20-Poly1305. Einige Varianten speichern den Schlüssel nirgendwo, was sie zu vollwertiger Wiper-Malware macht, während sie dennoch eine Lösegeldforderung hinterlassen. Andere speichern den Schlüssel, lassen aber Kontaktinformationen weg. Die .NET-Variante generiert einen 32-Byte-Schlüssel, sendet ihn an einen Command-and-Control-Server und verschlüsselt Dateien mit AES-256-CBC. Sie kann Privilegien eskalieren, die Windows-Wiederherstellung deaktivieren, Microsoft-Outlook-Anmeldeinformationen extrahieren, Dateien mit den Erweiterungen .bak, .backup, .bkf und .bck löschen und sich nach der Ausführung selbst entfernen. Die C++-Variante fügt Persistenz durch eine geplante Aufgabe oder einen RunOnce-Registrierungsschlüssel hinzu, löscht Systemprotokolle, deaktiviert die Protokollierung, löscht den Verlauf von PowerShell und Eingabeaufforderung, umgeht AMSI, schaltet Event Tracing for Windows aus, konfiguriert Microsoft Defender-Ausnahmen, deaktiviert Task-Manager und Eingabeaufforderung durch Registrierungsänderungen, fragt api.ipify.org und ipapi.co nach der öffentlichen IP-Adresse ab und deaktiviert Backup-, Datenbank- und Wiederherstellungsmechanismen einschließlich des Volumeschattenkopie-Dienstes. Die Golang-Variante, die hauptsächlich gegen Linux und ESXi eingesetzt wird, erstellt einen Crontab-Eintrag für Persistenz, deaktiviert SELinux und AppArmor und versucht, Volumeschattenkopien zu löschen. Kaspersky merkt an, dass die Golang-Version das Entfernen von Schattenkopien beinhaltet, was unter Linux oder ESXi keinen Zweck erfüllt, was darauf hindeutet, dass die Angreifer nachlässig waren und wahrscheinlich KI bei der Entwicklung des Toolkits eingesetzt haben.

Hacking Cat hat auch mit Cyber Anarchy Squad zusammengearbeitet, um eine andere Ransomware-Variante namens ClearWater über ein Batch-Skript zu verbreiten, und es wird angenommen, dass ClearWater im Rahmen eines Ransomware-as-a-Service-Modells an pro-ukrainische hacktivistische Crews verteilt wird. In einer weiteren Operation mit der Ukrainian Cyber Alliance setzte die Gruppe einen Wiper namens Nemo Wiper ein, der Dateien mit zufälligen Bytes überschreibt und freien Speicherplatz mit Dateien füllt, die zufällige alphanumerische Namen und die Erweiterung .lock verwenden. Kaspersky merkt an, dass verschiedene hacktivistische Gruppen dieselben selbst geschriebenen Tools in unterschiedlichen Angriffen verwenden, einschließlich mehrstufiger Infektionsketten, was auf einen gemeinsamen Entwickler oder eine kleine Gruppe hindeuten könnte, die die Malware wartet. Nach der Veröffentlichung des Berichts postete Hacking Cat in seinem Telegram-Kanal, dass ein paar der Tools ihnen gehören, die Locker aber definitiv nicht, und beschuldigte Kaspersky, Tools von unrelated Akteuren zuzuschreiben und lernen zu müssen, Gruppen besser zu reverse-engineeren.

Das dritte Cluster, Toy Ghouls, auch bekannt als Bearlyfy, Laboo.boo und Feral Wolf, ist eine finanziell motivierte Gruppe, die seit 2025 aktiv ist. Sie wechselte von geleakten Babuk- und LockBit-Ransomware-Buildern zu ihrer eigenen GenieLocker-Ransomware und nun zu einer benutzerdefinierten Backdoor, die erstmals im Juli 2026 entdeckt wurde. Die Backdoor erscheint in zwei Varianten: mqtt-bird-agent 0.1.0, die den HiveMQ-MQTT-Broker für Command and Control verwendet, und matrix-bird-agent 0.1.0, die Element, einen Matrix-basierten Ende-zu-Ende-verschlüsselten Messenger, für Command and Control nutzt. Kaspersky sagt, die Angreifer verwenden Windows Remote Management, oder WinRM, um die Backdoors und ihre Konfigurationsdateien zu liefern, wobei sie auf Open-Source-Tools wie Evil-WinRM und WinRM-fs zurückgreifen. Die Bird-Agent-Backdoor kann in einer interaktiven Kommandozeilensitzung ausgeführt werden und Persistenz als Windows-Dienst einrichten. Beim Start sucht sie nach einer Konfigurationsdatei namens config.toml in ihrem eigenen Verzeichnis oder akzeptiert einen Dateipfad über die Option -c oder --config. Sie liest dann die Datei und verschlüsselt sie teilweise mit einem Schlüssel, der vom MachineGuid-Wert der Opfermaschine in der Windows-Registrierung abgeleitet wird, wodurch die Konfiguration an dieses spezifische System gebunden wird. Wenn sie die Konfiguration später nicht entschlüsseln kann, stoppt sie. Die Konfiguration enthält entweder einen Cluster-Identifikator für den HiveMQ-Broker oder eine Element-Raum-ID und ein Zugriffstoken. Einmal verbunden, sendet die Backdoor Systeminformationen und stellt HTTP-GET-Anfragen an den HiveMQ-Broker, um Befehle abzurufen, führt sie über PowerShell im versteckten Modus aus und gibt die Ergebnisse zurück. Die Element-Variante ist ähnlich, führt Befehle jedoch über die Windows-Kommandozeilenschnittstelle aus. Kaspersky sagt, dieser Wechsel von öffentlichen Open-Source-Projekten zu selbst entwickelten Tools und unkonventionellen C2-Kanälen deute darauf hin, dass Toy Ghouls daran arbeitet, Angriffe raffinierter zu machen und die Erkennung länger zu umgehen.

Teams, die öffentlich zugängliche Websites verwalten, können ihre Exposition gegenüber ähnlichen Angriffen reduzieren, indem sie einen Hosting-Anbieter wählen, der Sicherheit als Teil des Services wartet; AEU Hosting (https://albhosting.eu) bietet managed WordPress-Hosting, das durchgängig abgesichert ist.