Ein destruktiver Angriff auf einen ukrainischen Hersteller deutet auf eine Veränderung der Aktivitäten hin, die ESET bei Hackern aus dem Umfeld Belarus’ dokumentiert hat. In Ergebnissen, über die The Record am 28. Oktober berichtete, führte die Sicherheitsfirma den Ende Mai verübten Angriff auf GhostWriter zurück. Zudem schätzte sie ein, dass Operationen mit Belarus-Bezug zunehmend den nachrichtendienstlichen Interessen Russlands im Krieg folgen.
Es wird angenommen, dass der Hersteller eine wichtige Rolle im Transportsektor der Ukraine spielt. Laut ESET war der Angriff die erste destruktive Operation in Europa, die ihre Forscher einer Gruppe aus dem Umfeld Belarus’ zuordnen konnten. GhostWriter unterhält Verbindungen zu belarussischen Geheimdiensten und hat eine Geschichte von Spionage- und Einflusskampagnen, die sich gegen die Ukraine, Polen und andere Länder der Region richteten.
Der Einsatz eines Wipers bringt eine destruktive Fähigkeit in diese Geschichte ein: Die Malware kann Informationen auf kompromittierten Systemen löschen und deren Betrieb unterbrechen. Ihr Zweck bei diesem Angriff bleibt jedoch unklar. ESET konnte nicht feststellen, ob die Angreifer Schaden anrichten oder Spuren einer Spionageoperation beseitigen wollten.
Diese Unsicherheit schränkt Schlussfolgerungen über das Motiv ein. ESET ordnete den Vorfall jedoch in einen breiteren Wandel bei der Zielauswahl ein. Belarussische Gruppen verfolgten traditionell nachrichtendienstliche und Einflussziele im Interesse Minsks. Die Forscher sehen inzwischen mehr Aktivitäten, die russische Prioritäten in der Ukraine widerspiegeln, darunter weitere Spionageoperationen gegen Organisationen, die für Moskau im Krieg von besonderem Interesse sind.
ESET deutete an, dass belarussische Gruppen die Cyberfähigkeiten Russlands zunehmend als Stellvertreter oder „Force Multiplier“ ergänzen. Die Forscher warnten, dass eine engere Abstimmung irgendwann den Austausch von Werkzeugen und Infrastruktur, die Übergabe der Zielauswahl oder gemeinsame Angriffe umfassen könnte. Dabei handelte es sich um mögliche Entwicklungen, die ESET identifizierte, und nicht um bestätigte Merkmale des Angriffs auf den Hersteller.
Die Firma beobachtete außerdem mehr nordkoreanische Angriffe auf ukrainische Organisationen, während die militärische Zusammenarbeit zwischen Pjöngjang und Moskau wächst. Die ukrainische Drohnenindustrie war ein Bereich, in dem die Forscher überschneidende nachrichtendienstliche Interessen erkannten. ESET unterschied jedoch zwischen den Aktivitäten der beiden Länder: Belege dafür, dass nordkoreanische Cyberoperationen den Kriegsanstrengungen Russlands direkt helfen, waren weniger eindeutig als die Ausrichtung, die bei belarussischen Gruppen zu sehen war. Nordkoreanische Zielauswahl könnte zudem auf Wissen und technische Expertise für das eigene Militär Pjöngjangs abzielen.
