Mehrere russische Hackergruppen haben zeitgleich ihre Angriffe auf ukrainische Verteidigungseinrichtungen und westliche Ziele verstärkt. Das ukrainische CERT-UA sowie internationale Geheimdienste schlagen Alarm.
Die Warnungen kamen am Donnerstag gebündelt: Das Computer Emergency Response Team der Ukraine (CERT-UA) und die britische NCSC enthüllten gleich mehrere koordinierte Kampagnen. Im Fokus stehen gefälschte Software-Plugins und sogenannte Zero-Click-Exploits – Angriffe, die ohne Zutun des Opfers auskommen.
Gefälschte Notepad-Plugins als Einfallstor
Die russlandnahe Gruppe UAC-0099 hat es gezielt auf ukrainische Verteidigungsteams abgesehen. Die Angreifer verschicken Phishing-Mails mit Bildanhängen, die zum Download einer ZIP-Datei führen. In dieser versteckt sich ein als PDF getarnter VBScript-Code.
Das Skript lädt ein Paket herunter, das eine legitime Version von Notepad++ 8.8.3 enthält – und einen bösartigen Plugin. Die manipulierte DLL-Datei mit dem Codenamen LUNCHPOKE wird per DLL-Sideloading geladen. Einmal aktiv, schleust sie weitere Schadsoftware nach: BURNYBEAR und MATCHBOIL.V2.
Besonders tückisch: BURNYBEAR sabotiert automatische Analysesysteme. Fehlt ein bestimmter Befehl, versucht die Malware, den Arbeitsspeicher und die CPU des Systems lahmzulegen. Die Gruppe gilt als Türöffner für APT44, besser bekannt als Sandworm – eine der gefährlichsten russischen Hackereinheiten.
Angesichts der Zunahme von Zero-Click-Exploits und raffinierten Malware-Varianten müssen Unternehmen ihre Abwehrstrategien proaktiv anpassen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt verstehen
Zero-Click-Angriffe auf NATO-Ziele
Parallel dazu warnte der britische Geheimdienst NCSC vor der Gruppe LAUNDRY BEAR, auch bekannt als Star Blizzard oder Cold River. Deren Methode: eine Sicherheitslücke in Zimbra Collaboration Suite-Servern. Die Schwachstelle CVE-2025-66376 erlaubt Angreifern, ein Konto zu übernehmen – allein durch das Betrachten einer infizierten E-Mail.
Die Taktik wurde zuerst an ukrainischen Opfern getestet. Jetzt trifft sie NATO-Ziele: US-Atomwissenschaftler und Rüstungskonzerne stehen im Visier. Die Angreifer erbeuteten in einigen Fällen bis zu 90 Tage E-Mail-Verlauf und Zugangsdaten. Betroffen sind Verteidigung, Energie und Strafverfolgungsbehörden.
Ein Patch für die Lücke ist seit November 2025 verfügbar. Doch ungepatchte Systeme bleiben verwundbar – ein bekanntes Problem in vielen Behörden und Unternehmen.
WinRAR-Lücke bleibt Dauerbrenner
Zwei weitere russische Gruppen – SHADOW-EARTH-066 und Earth Dahu – nutzen eine alte WinRAR-Sicherheitslücke (CVE-2025-8088). Der Patch ist seit Juli 2025 verfügbar. Dennoch setzen die Angreifer weiterhin auf manipulierte Archive.
SHADOW-EARTH-066 tarnt Schadcode als PDF-Datei und versteckt ihn in NTFS-Alternativdatenströmen. Die Malware GIFTEDCROOK stiehlt Browser-Passwörter, Cookies und Dokumente. Seit Telegram in der Region blockiert wurde, nutzt die Gruppe eigene Kommando-Server.
Da Hacker verstärkt psychologische Tricks und manipulierte Archive nutzen, um Mitarbeiter zu täuschen, wird die gezielte Prävention immer wichtiger. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen solche Angriffe schützen kann. Kostenloses Anti-Phishing-Paket anfordern
Earth Dahu setzt auf eine ähnliche Kette aus HTA- und VBScript-Downloads. Ziel ist der langfristige Zugriff auf kompromittierte Netzwerke. Beide Gruppen sind seit mindestens September 2025 aktiv.
Die aktuellen Warnungen zeigen: Russische Cyberangriffe werden raffinierter und treffen zunehmend westliche Ziele. Für Unternehmen und Behörden heißt das: Updates einspielen, Phishing-Sensibilisierung verstärken – und wachsam bleiben.
