Krieg in der Ukraine: Belarussische und russische Hacker gegen Ukraine und Polen

Mit dem Krieg in der Ukraine geht auch der Cyberwar weiter. Neben Russland mischt laut Google auch Belarus mit.

Artikel veröffentlicht am 8. März 2022, 15:15 Uhr, Werner Pluta

Belarussischer Staatschef Alexander Lukaschenko (l.) mit Wladimir Putin (r.): nicht nur Aufmarschgebiet für russische Truppen. (Bild: Sergei Guneyev/Sputnik/AFP via Getty Images)

Cyberangriff auf die Ukraine aus Russland und aus Belarus: Seit Ende Februar hat die Threat Analysis Group (TAG) von Google eine Reihe von Phishing-Angriffen auf die Ukraine sowie auf ihre Verbündeten verzeichnet. Unter den Akteuren sind alte Bekannte.

"In den letzten zwei Wochen hat TAG Aktivitäten von einer Reihe von Bedrohungsakteuren beobachtet, die wir regelmäßig überwachen und die den Strafverfolgungsbehörden bekannt sind", schrieb Shane Huntley von der TAG in einem Blogeintrag. "Diese Aktivitäten reichen von Spionage bis hin zu Phishing-Kampagnen."

Zu den besonders aufgefallenen Bedrohungsakteuren gehört laut Huntley die belarussische Gruppe Ghostwriter, auch UNC1151 genannt. Sie habe in der vergangenen Woche Phishing-Kampagnen auf Ziele in der Ukraine und in Polen durchgeführt. Darunter seien Nutzer von Webmail-Anbietern gewesen, aber auch polnische und ukrainische Regierungs- und Militäreinrichtungen. Google habe die Phishing-Domains, die bei den Aktionen genutzt worden seien, identifiziert und blockiert, schrieb der Sicherheitsexperte.

Ghostwriter steht der Regierung nahe

Ghostwriter wird von Sicherheitsexperten mit der belarussischen Regierung in Verbindung gebracht. Das sei ein weiteres Indiz dafür, dass Belarus nicht nur als Aufmarschgebiet für russische Truppen gedient habe, sondern eine größere Rolle im russischen Krieg spiele, schreibt die US-Tageszeitung Washington Post. Deutsche Behörden ordnen Ghostwriter hingegen dem russischen Militärgeheimdienst GRU zu. Allerdings ist die Attribution von Hackerangriffen und -gruppen generell schwierig.

Außerdem aufgefallen sei die bekannte russische Gruppe Fancy Bear oder APT28, die im Umfeld russischer Geheimdienste verortet wird. Diese hat laut Googles TAG mehrere große Phishing-Attacken auf Nutzer eines ukrainischen Medienunternehmens durchgeführt. Die Phishing-E-Mails seien von einer großen Zahl kompromittierter Konten aus verschickt worden und enthielten Links zu Domains, die von Fancy Bear kontrolliert würden.

Bei zwei Kampagnen habe Fancy Bear auch neu eingerichtete Blogspot-Präsenzen als Landing-Pages genutzt, von denen auf Phishing-Seiten weitergeleitet wurde. Diese Blogspot-Seiten seien umgehend vom Netz genommen worden, schrieb Huntley. Blogspot gehört zu Google.

DDoS-Attacken gehen weiter

Zudem gibt es laut TAG weiterhin viele Distributed-Denial-of-Service-Attacken (DDoS) auf zahlreiche ukrainische Websites. Diese richteten sich gegen Ministerien, aber auch gegen Dienste wie Liveuamap, die Menschen bei der Suche nach Informationen helfen sollen. Die Ukraine ist schon seit längerem Ziel von Cyberattacken. Mitte Januar hatte es einen größeren Angriff auf ukrainische Regierungsseiten gegeben. Auch hier hat Google Maßnahme ergriffen, um die Attacken abzumildern.

"Wir werden weiterhin Maßnahmen ergreifen, bösartige Akteure identifizieren und relevante Informationen an Unternehmen und Regierungen weiterleiten, um das Bewusstsein für diese Probleme zu schärfen, Nutzer zu schützen und zukünftige Angriffe zu verhindern", resümierte Huntley.