Drei Bedrohungsgruppen greifen russische Unternehmen mit Backdoors, Ransomware und Wipern an

Russische Unternehmen sehen sich drei unterschiedlichen Intrusionsclustern gegenüber, die gestohlene VPN-Zugangsdaten, Angriffe auf Microsoft Exchange, Attacken auf Active Directory, Ransomware und destruktive Malware kombinieren.

Kaspersky bringt die Aktivitäten mit NightEagle, auch als APT-Q-95 bekannt, der pro-ukrainischen Hacktivistengruppe Hacking Cat sowie der finanziell motivierten Gruppe Toy Ghouls in Verbindung, die auch unter den Namen Bearlyfy, Laboo.boo und Feral Wolf auftritt.

Obwohl sich Motivation und Tooling unterscheiden, streben alle drei Gruppen einen dauerhaften Zugang zu Unternehmensinfrastrukturen an. Die Kampagnen betreffen Windows-, Linux- und VMware-ESXi-Systeme und kombinieren individuell entwickelte Malware mit Open-Source-Tools für offensive Operationen.

In den Berichten tauchen vier ausgenutzte oder anvisierte Schwachstellen auf: CVE-2019-0708, CVE-2020-0688, CVE-2021-26855 und CVE-2026-42897. Alle vier stehen im Katalog der bekannten ausgenutzten Schwachstellen der US-amerikanischen Cybersecurity and Infrastructure Security Agency.

NightEagle strebt die Kontrolle über Active Directory an

NightEagle ist mindestens seit 2023 aktiv und verschafft sich typischerweise über gültige Zugangsdaten Zugang zu Unternehmensnetzwerken, die gegen VPN-Dienste eingesetzt werden. Beobachtete Verbindungen stammten aus russischen IP-Adressbereichen, die mit Cloudflare-WARP-Tunneln in Verbindung stehen, sowie von europäischen Anbietern virtueller Infrastruktur.

Nach dem Eindringen konzentriert sich die Gruppe auf Persistenz, laterale Bewegungen, die Beschaffung von Zugangsdaten und schließlich die Kontrolle über Active Directory.

Eine zentrale Komponente ist GhostContainer, eine modulare Backdoor, die umfassenden Zugriff auf Microsoft Exchange Server ermöglichen soll. Sie unterstützt die Ausführung beliebigen Codes, die Manipulation von Dateien, das Nachladen zusätzlicher Module, die Umleitung von Datenverkehr und Tunneling. Außerdem tarnt sich die Malware als gewöhnliche Serverkomponente, um ihre Sichtbarkeit zu verringern.

Teile von GhostContainer stammen aus öffentlichen Projekten, darunter Neo-reGeorg, GhostWebShell-Code aus ysoserial sowie ein Exploit für CVE-2020-0688. Die Schwachstelle betrifft Microsoft Exchange Server 2010 und hat einen CVSS-Score von 8,8.

Der genaue Angriffsweg auf Exchange ist nicht bekannt. Eine mögliche Variante besteht darin, kryptografische Schlüssel aus der ASP.NET-Konfiguration zu stehlen, den ASP.NET-Wert VIEWSTATE zu verändern und eine Payload einzuschleusen, die die Backdoor im Arbeitsspeicher ausführt.

Anschließend setzt NightEagle Tunneling-Tools wie Microsoft dev tunnels und rdp2tcp ein, um Remote-Desktop-Protocol-Datenverkehr in interne Systeme zu leiten. Bereits eingerichtete Tunnel verschaffen den Angreifern Zugriff auf Infrastrukturen, die nicht direkt aus dem Internet erreichbar sind.

Bei einem Angriff nutzte die Gruppe BlueKeep, CVE-2019-0708, aus, um ein lokales Konto anzulegen und es den Gruppen „Administratoren“ und „Remotedesktopbenutzer“ hinzuzufügen. Außerdem versuchte sie, einen DCSync-Angriff durchzuführen, bei dem sie sich als Domänencontroller ausgab, um Zugangsdatenmaterial der Domäne abzurufen.

Das übergeordnete Ziel ist eindeutig: Passwort-Hashes erlangen, einen langfristig nutzbaren Kerberos-Zugriff einrichten, Domänencontroller kompromittieren und dauerhafte Kontrolle über die Identitätsinfrastruktur des Opfers gewinnen.

Hacking Cat kombiniert Fernzugriff mit destruktiver Malware

Hacking Cat führt seit Februar 2024 Defacements und Datendiebstähle durch, hat seine Aktivitäten jedoch zunehmend auf Verschlüsselung und die Zerstörung von Systemen ausgerichtet. Die Gruppe arbeitet mit Cyber Anarchy Squad und der Ukrainian Cyber Alliance zusammen. Das erschwert die Zuordnung, da mehrere Gruppierungen dieselbe Malware einsetzen können.

Laut Kaspersky nutzte die Gruppe die Exchange-Schwachstellen CVE-2021-26855 und CVE-2026-42897 aus, um Gorilla RAT zu installieren, einen auf Go basierenden Remote-Access-Trojaner. Genaue Angaben dazu, wie die einzelnen Schwachstellen mit der abschließenden Ausführung der Payload verknüpft sind, wurden nicht veröffentlicht.

Gorilla RAT registriert infizierte Rechner bei einem entfernten Server und wartet auf Anweisungen. Die Angreifer können Befehle ausführen, Prozesse auflisten, Hostinformationen sammeln, Dateien übertragen sowie TCP-Tunnel öffnen und schließen. Diese Tunneling-Funktion macht einen kompromittierten Exchange-Server zum Ausgangspunkt für einen tieferen Zugriff auf das Netzwerk.

Hacking Cat setzte außerdem Varianten der in Rust, .NET, C++ und Go geschriebenen Monkey-Ransomware ein. Die Familie zielt auf Windows, Linux und VMware ESXi. Das früheste gemeldete Artefakt stammt aus dem Spätsommer 2025.

Die Rust-Variante erzeugt einen 32 Byte langen Schlüssel und verwendet ChaCha20-Poly1305. Einige Builds speichern den Schlüssel nie dauerhaft, wodurch eine Wiederherstellung selbst dann unmöglich wird, wenn eine Lösegeldforderung angezeigt wird. Diese Samples fungieren eher als Wiper denn als herkömmliche Ransomware.

Der .NET-Build verwendet AES-256-CBC und sendet den Schlüssel an die Command-and-Control-Infrastruktur. Er kann seine Privilegien erweitern, die Windows-Wiederherstellung deaktivieren, Outlook-Zugangsdaten stehlen, sicherungsbezogene Dateien löschen und sich selbst entfernen.

Die C++-Variante ergänzt Persistenz über geplante Aufgaben oder RunOnce, das Löschen von Logs, die Entfernung des PowerShell- und Eingabeaufforderungsverlaufs sowie Eingriffe in AMSI und Event Tracing for Windows. Außerdem legt sie Ausnahmen in Microsoft Defender an und beeinträchtigt VSS-, Backup-, Datenbank- und Wiederherstellungsdienste.

Die Go-Variante zielt hauptsächlich auf Linux und ESXi. Sie verwendet crontab für die Persistenz und versucht, SELinux und AppArmor zu deaktivieren. Die beibehaltene Logik zum Entfernen von Windows-Schattenkopien ist auf diesen Plattformen kaum relevant. Kaspersky wertet dies als möglichen Hinweis auf eine nachlässige oder KI-gestützte Entwicklung.

Hacking Cat war außerdem an der Verbreitung von ClearWater-Ransomware und an Nemo-Wiper-Operationen beteiligt. Nemo überschreibt Dateien mit zufälligen Bytes und belegt anschließend den verbleibenden Speicherplatz mit zufällig benannten .lock-Dateien.

Die Gruppe widersprach Teilen der Zuordnung, nachdem die Ergebnisse veröffentlicht worden waren. Sie bestätigte, einige der Tools zu besitzen, bestritt jedoch, hinter den Ransomware-Lockern zu stehen, und erklärte, dass Malware unabhängiger Akteure fälschlicherweise ihren Aktivitäten zugerechnet worden sei. Der Streit ist weiterhin ungeklärt.

Toy Ghouls versteckt Befehle in MQTT- und Matrix-Datenverkehr

Toy Ghouls ist seit 2025 aktiv und verfolgt hauptsächlich finanzielle Ziele. Nachdem die Gruppe geleakte Babuk- und LockBit-Builders und später ihre eigene GenieLocker-Ransomware verwendet hatte, führte sie eine maßgeschneiderte Backdoor namens Bird Agent ein.

Die Malware wurde erstmals im Juli 2026 entdeckt. Zwei Varianten der Version 0.1.0 sind bekannt:

• mqtt-bird-agent 0.1.0, das einen HiveMQ-MQTT-Broker verwendet;
• matrix-bird-agent 0.1.0, das die auf Matrix basierende Messaging-Plattform Element verwendet.

Toy Ghouls liefert die Backdoor und ihre Konfiguration über Windows Remote Management aus. Unterstützt wird die Gruppe dabei von Open-Source-Tools wie Evil-WinRM und WinRM-fs. Bird Agent stellt eine interaktive Befehlssitzung bereit und kann sich als Windows-Dienst installieren.

Beim Start durchsucht die Malware ihr Verzeichnis nach config.toml. Die Angreifer können jedoch mit -c oder --config einen anderen Pfad angeben. Die Malware verschlüsselt diese Konfiguration teilweise mit einem Schlüssel, der aus der Registry-MachineGuid des Hosts abgeleitet wird, und bindet die Datei dadurch an einen bestimmten Rechner. Schlägt die Entschlüsselung fehl, werden spätere Ausführungen beendet.

Die MQTT-Konfiguration enthält eine HiveMQ-Cluster-ID. Die Element-Variante speichert stattdessen eine Raum-ID und ein Zugriffstoken. Ist das entsprechende Feld leer, fordert sie das Token während der Installation an.

Nachdem die Systeminformationen an den Angreifer übermittelt wurden, ruft die HiveMQ-Variante Befehle über HTTP-GET-Anfragen ab und führt sie in verborgenen PowerShell-Sitzungen mit folgenden Parametern aus:

-NonInteractive -NoProfile -Command

Der Element-Build führt vergleichbare Aktionen über die Windows-Kommandozeile aus. Beide Varianten übermitteln die Befehlsausgabe über ihre jeweiligen C2-Kanäle zurück.

MQTT-Broker und verschlüsselte Matrix-Räume lassen sich schwerer von legitimem Anwendungsdatenverkehr unterscheiden als herkömmliche Command-and-Control-Server. Verteidiger müssen daher den Kontext und das Verhalten der Endpunkte untersuchen, statt lediglich unbekannte Domains zu blockieren.

Vier KEV-Schwachstellen bestimmen den unmittelbaren Patch-Bedarf

Der Ausnutzungsstatus aller vier genannten Schwachstellen ist über den KEV-Katalog der CISA bestätigt:

Schwachstelle	Betroffene Produkte laut den verfügbaren Datensätzen	Score	In KEV aufgenommen	Frist für Bundesbehörden
CVE-2019-0708	Windows 7, Windows Server 2008 sowie die aufgeführten Siemens-Produkte Axiom, Mobilett und Multix; Versionen nicht angegeben	9,8	3. November 2021	3. Mai 2022
CVE-2020-0688	Microsoft Exchange Server 2010	8,8	3. November 2021	3. Mai 2022
CVE-2021-26855	Exchange Server 2013 CU21–CU23 und Exchange Server 2016 CU10–CU16	9,8 NIST; 9,1 Microsoft CNA	3. November 2021	3. Mai 2022
CVE-2026-42897	Exchange Server 2016 und Exchange Server Subscription Edition unter 15.02.2562.043	8,1	15. Mai 2026	29. Mai 2026

CVE-2021-26855 ist eine SSRF-Schwachstelle. NIST bewertet sie mit 9,8, was die erheblichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit widerspiegelt. Der Score der Microsoft CNA liegt dagegen bei 9,1; Auswirkungen auf die Verfügbarkeit werden dort nicht verzeichnet.

CVE-2026-42897 ist eine Cross-Site-Scripting-Schwachstelle, die netzwerkbasiertes Spoofing ermöglicht und eine Benutzerinteraktion voraussetzt. Die CISA weist Organisationen an, die vom Hersteller bereitgestellten Maßnahmen umzusetzen, für Cloud-Dienste die geltenden Vorgaben aus BOD 22-01 zu befolgen oder das Produkt außer Betrieb zu nehmen, wenn keine Gegenmaßnahmen verfügbar sind. Für die drei anderen Einträge sind Updates des Herstellers erforderlich. CVE-2019-0708, CVE-2020-0688 und CVE-2021-26855 sind als Schwachstellen erfasst, die in Ransomware-Kampagnen eingesetzt wurden.

Die KEV-Bedrohungslage rund um Microsoft und Siemens besteht fort. In den vergangenen 90 Tagen wurden CVE-2025-25249 am 9. September 2026, CVE-2026-81963 und CVE-2026-85880 am 8. September 2026, CVE-2019-1068 am 26. August 2026 sowie CVE-2026-33824 und CVE-2026-55040 am 18. August 2026 in den Katalog aufgenommen.

Wonach Verteidiger jetzt suchen sollten

Organisationen sollten zunächst alle betroffenen Exchange-, Windows- und Siemens-Systeme patchen oder absichern. Internetexponierte Exchange-Server sowie Systeme, die über VPN, RDP oder WinRM erreichbar sind, sollten dabei priorisiert werden.

Anschließend sollten Sicherheitsteams nach Folgendem suchen:

• erfolgreichen VPN-Authentifizierungen von unerwarteten Cloudflare-WARP- oder europäischen Hosting-Adressen;
• verdächtigen Zugriffen auf ASP.NET-Konfigurationen, Manipulationen von VIEWSTATE und Exchange-Payloads, die im Arbeitsspeicher ausgeführt werden;
• nicht autorisierten lokalen Konten oder Hinzufügungen zu den Gruppen „Administratoren“ und „Remotedesktopbenutzer“;
• DCSync-Aktivitäten, ungewöhnlich langen Kerberos-Ticketlaufzeiten und auffälligem Zugriff auf Domänencontroller;
• Aktivitäten von Microsoft dev tunnels, rdp2tcp, Evil-WinRM und WinRM-fs;
• neuen Diensten, geplanten Aufgaben, RunOnce-Einträgen oder crontab-Persistenz;
• config.toml neben unbekannten ausführbaren Dateien sowie Verbindungen zu HiveMQ oder Matrix/Element;
• Störungen von VSS, deaktivierten Backups, Defender-Ausnahmen, Manipulationen an AMSI oder ETW und gelöschtem Shell-Verlauf;
• zufälligen .lock-Dateien, die freien Speicherplatz belegen.

Pläne zur Incident Response müssen von einer destruktiven Wirkung ausgehen. Eine Monkey-Infektion kann ihren Schlüssel vollständig verwerfen, während Nemo Daten absichtlich überschreibt. Damit bleibt die Wiederherstellung aus geschützten Offline-Backups der einzige praktikable Weg zur Recovery.