Ghostwriter reaktiviert: Kampagnen gegen die Ukraine zeigen eine zunehmend reifere Cyber-Drohung

Ein Schauspieler im Einklang mit Weißrussland bekannt öffentlich als Ghostwriter - auch als FrostyNeedbor, PUSHCHA, Storm-0257, TA445, Umbral Bison / RepeatingUmbra, NC1151, unter anderem - hat eine Reihe von Kampagnen gegen Regierungs- und Verteidigungseinrichtungen in der Ukraine reaktiviert, entsprechend der jüngsten Analyse, die mit Medien und Vertriebslabors geteilt wurde. Diese seit mindestens 2016 aktiven Operationen zeigen eine stetige Entwicklung in Methoden und Werkzeugen: von der Verwendung von PicassoLoader und Cobalt Strike bis zur Ausbeutung von Schwachstellen in WinRAR (CVE-2023-38831) und Roundcube Webmail (CVE-2024-42009).

Was diese Gruppe unterscheidet, ist nicht nur historische Beharrlichkeit, sondern ihre Laufzeit. Die Angreifer kombinieren servoseitige Validierungen, um die Aktivierung von schädlichen Lasten off-target (geofencing), verwenden Sie dynamische CAPTCHAs als Anti-Analyse-Technik, und manuell wählen Sie hochwertige Opfer nach dem Sammeln von Drucken aus dem System. Der seit März 2026 entdeckte typische Fluss verwendet decoy PDFs, die Links zu RAR-Dateien enthalten; diese RAR enthalten JavaScript-Patloads, die eine Version von PicassoLoader ausführen, um schließlich Cobalt Strike Beacon in den Systemen von Interesse zu implementieren.

Neben dem Hauptziel in der Ukraine haben frühere und parallele Kampagnen Polen, Litauen und andere Länder in der Region betroffen, mit einer breiteren Opferkunde in den Bereichen Industrie, Gesundheit und Logistik. Die Strategie, legitime E-Mail-Konten zu kompromittieren und neue Phishing-Nachrichten zu verbreiten, erhöht das Risiko: ein einzelnes Postfach genommen kann eine Ketteneingriffsplattform werden, die interne Erhebungen, die Exfiltration von Kontakten und die Eskalation des Zugangs zu ermöglichen.

Diese Taktiken passen in einen breiteren Kontext, in dem sowohl staatlich oder geordnete Gruppen als auch kriminelle und hacktivistische Akteure mit unterschiedlichen, aber oft überschneidenden Zielen arbeiten: zu unterbrechen, zu spionieren oder zu profitieren. Zeitgenössische Berichte haben auf Gamaredons Kampagnen gegen ukrainische Institutionen, pro-ukrainische Hacktivistenoperationen gegen russische Ziele und finanzielle Betrügereien hingewiesen, die begangene Konten missbrauchen, um Zahlungen abzuwenden.

Für Verteidiger und Sicherheitsbeamte hat dies einige praktische Auswirkungen. Erstens: die Kombination von überzeugenden Lures und Validierungen servoseitige Komplikationen die traditionelle Analyse, weil viele Proben die Nutzlast nicht zeigen, wenn sie von PIs oder Verwendungsmitteln außerhalb des Ziels konsultiert werden. Zweitens erfordert die Existenz von mehreren Stufen (Dropper JavaScript → Loader → Beacon) die Erkennung auf verschiedenen Ebenen: Anhangsanalyse und Links, Browser-Instrumentation / JS, Endpoint-Verhalten und persistente Netzwerk-Telemetrie.

Die spezifischen Empfehlungen beginnen mit der Korrektur bekannter Betriebsvektoren: Anwendung von Patches und Minderung für Komponenten wie WinRAR und Roundcube, Überprüfungskonfigurationen und Aktualisierung auf Versionen ohne die damit verbundenen Schwachstellen (siehe CVE-Chips für technische Details). Für amtliche Verweise auf die oben genannten Schwachstellen siehe die Einträge in der nationalen Sicherheitsdatenbank: CVE-2023-38831 und CVE-2024-42009.

Parallel dazu stärken Sie den Schutz auf dem Umfang und der Post: aktivieren Sie die obligatorische Multifaktor-Authentifizierung, implementieren Sie SPF / DKIM / DMARC-Richtlinien mit aktiver Überwachung, deaktivieren oder beschränken Sie die Codeausführung aus komprimierten Dateien oder eingebetteten Dokumenten, und verwenden Sie Link und Anhängesandboxing. EDR-Instrumentierung mit Verhaltenserkennung (z.B. Prozesse, die PowerShell / JS von RAR starten oder offene persistente Verbindungen zu ungewöhnlichen Domänen) erhöht die Wahrscheinlichkeit der Früherkennung.

Aus dem Netz, überwachen und blockieren IOCs Indikatoren und Beaconing-Muster, die mit Lasten wie Cobalt Strike verbunden sind; begrenzen Sie den ausgehenden Verkehr zu autorisierten Zielen und wenden Segmentierung, um Seitenbewegungen zu verhindern. Für Organisationen, die in der Verteidigungs- und öffentlichen Verwaltungsumgebung tätig sind, beachten Sie zusätzliche Kontrollen, wie z.B. White Application Allowlisting und strenge Bewertungen von Privilegien und Remote Access.

Wenn Sie das Engagement vermuten, handeln Sie mit sofortiger Eindämmung: Isolieren Sie die betroffenen Maschinen, bewahren Sie Protokolle und Beweise, ändern Sie verpflichtete Anmeldeinformationen und führen Sie eine Range-Suche, um Exfiltrationen und Konten zu erkennen, die verwendet werden, um zu schwenken. Koordinieren Sie die Reaktion mit nationalen Cybersicherheitsbehörden und Geheimdienstanbietern und teilen Sie TTPs und Artefakte zur Verbesserung der kollektiven Erkennung.

Die Beziehung zwischen staatlichen Operationen, Hacktivismus und organisiertem Verbrechen in der Region zeigt, dass Cybersicherheit kein technisches Problem mehr ist, sondern eine geopolitische und wirtschaftliche Frage. Um eine effektive Verteidigungsposition zu erhalten, müssen Organisationen und Lieferanten diligent Patching, Multilayer Monitoring und sektorale Zusammenarbeit kombinieren. Um die auf diesen Kampagnen veröffentlichte technische Berichterstattung und Analyse zu verfolgen, stehen die Fachpresse und die Verkaufsanalyse zur Verfügung: The Hacker News und Forschungsberichte über das Sicherheitssystem, wie sie von ESET in WeLiveSecurity.