Große Spionage- und Desinformationskampagne Russlands enttarnt

Googles Threat Analysis Group (TAG) sowie die Bedrohungsanalysten von Mandiant haben eine weitere großangelegte russische Cyber-Kampagne identifiziert. Diese richtet sich mit verschiedenen Angriffsmethoden gegen Nutzer der Windows- und Android-Plattformen.

Android und Windows im Visier

Die Kampagne wird unter der Bezeichnung "UNC5812" geführt und umfasst Spionage- als auch Propaganda-Operationen. Vorrangiges Ziel der Attacke ist es, durch gezielte Desinformation die Unterstützung für die ukrainische Mobilmachung zu untergraben und gleichzeitig Malware zu verbreiten.

Die Angreifer nutzen einen Telegram-Kanal namens "Civil Defense", um die Schadsoftware als angeblich kostenlose Software an potenzielle Opfer zu verteilen. Die versprochenen Anwendungen richtet sich vor allem an Nutzer, die nach Informationen über die Rekrutierung für das ukrainische Militär suchen. Über den Telegram-Kanal sowie eine gleichnamige Webseite wird Malware verbreitet. Das Telegram-Konto ging im September live, während die dazugehörige Website bereits im April registriert wurde.


Die Malware ist sowohl für Android als auch für Windows verfügbar und wird zusammen mit einer scheinbar harmlosen App ausgeliefert, die als Kartentool getarnt ist. Laut Google TAG zielt der UNC5812-Angriff nicht nur auf Spionage ab, sondern betreibt auch Desinformation und Einflussnahme, um den Widerstand gegen die militärische Mobilisierung in der Ukraine zu stärken. Die Angreifer sollen bezahlte Beiträge in etablierten ukrainischsprachigen Telegram-Kanälen genutzt haben, um die Desinformationskampagne weiterzuverbreiten.

Backdoor inside

Android-Nutzer werden im Rahmen der Kampagne mit einer kommerziell verfügbaren Backdoor-Anwendung namens "Craxstat" infiziert, die den Angreifern weitergehende Zugriffe auf das jeweilige Gerät ermöglicht. Obwohl die Website auch Unterstützung für iOS- und MacOS-Malware bietet, konnten während der Untersuchung keine Schadprogramme für diese Plattformen nachgewiesen werden.

Google TAG warnt davor, dass die Angreifer Android-Nutzer dazu verleiten, Apps außerhalb des Google Play Stores zu installieren, indem sie umfangreiche Berechtigungen fordern, die angeblich der Anonymität und Sicherheit des Nutzers dienen sollen. Besonders gefährlich ist, dass die Angreifer detaillierte Anweisungen bereitstellen, wie Nutzer die Sicherheitsfunktionen von Google Play Protect deaktivieren können. Man empfiehlt daher dringend, Play Protect aktiviert zu lassen und Safe Browsing zu nutzen, um vor unsicheren Websites gewarnt zu werden.


Siehe auch: