Hacking Cat setzt Gorilla RAT und Monkey Ransomware gegen russische Ziele ein

Pro-ukrainische Operationen verlagern den Schwerpunkt auf Datenzerstörung

Forscher von Kaspersky haben zwei neu dokumentierte Malware-Familien mit Hacking Cat in Verbindung gebracht, einer pro-ukrainischen Hacktivistengruppe, die seit etwa Februar 2024 russische Organisationen ins Visier nimmt.

Die Gruppe konzentrierte sich zunächst auf Website-Verunstaltungen und Datendiebstahl. Bis zum Sommer 2025 umfassten ihre Operationen jedoch zunehmend die Verschlüsselung von Opferdateien oder die vollständige Zerstörung von Daten, wie aus den Forschungsergebnissen hervorgeht.

Zu der identifizierten Malware gehören Gorilla RAT, ein Remote-Access-Tool mit Netzwerk-Tunneling-Funktionen, und Monkey Ransomware, ein Dateiverschlüsseler, der betroffenen Daten die Erweiterung .monkey hinzufügt. Auf Systemen, die bei Hacking-Cat-Operationen kompromittiert wurden, sind mehrere Monkey-Varianten aufgetaucht.

Außerdem beobachteten die Forscher den eigenständigen Nemo Wiper bei einem gemeinsamen Angriff von Hacking Cat und der Ukrainian Cyber Alliance. Offenbar sollte die Malware vor allem Störungen und dauerhaften Datenverlust verursachen, nicht Lösegeldzahlungen erzwingen.

Betroffen waren hauptsächlich russische Einrichtungen oder Organisationen in von Russland besetzten Gebieten. Die vollständige Liste der Opfer, die Zahl der kompromittierten Systeme und das Ausmaß des daraus resultierenden Datenverlusts wurden nicht bekannt gegeben.

Gorilla RAT eröffnet Zugänge zu internen Netzwerken

Gorilla RAT ist ein bislang nicht dokumentiertes Remote-Access-Tool, das Netzwerkverkehr über ein infiziertes System tunneln kann. Dadurch erhält ein Angreifer möglicherweise einen Weg von einem zunächst kompromittierten Host zu anderen Diensten oder Rechnern, die aus dem Internet nicht direkt erreichbar sind.

Ein solches Tunneling verändert die Rolle des zuerst infizierten Geräts. Es dient dann nicht mehr nur als Überwachungspunkt, sondern kann als Vermittler für die Erkundung interner Netzwerksegmente und den Zugriff auf weitere Systeme fungieren.

Bei einigen Hacking Cat zugeschriebenen Vorfällen kompromittierten die Angreifer zunächst Microsoft-Exchange-Server und installierten anschließend Gorilla RAT. Welche konkreten Exchange-Schwachstellen für den Erstzugriff ausgenutzt wurden, ist nicht bekannt. Es wurden weder CVE-Kennungen noch betroffene Exchange-Editionen oder genauere verwundbare Versionen genannt.

Diese Lücke erschwert eine schwachstellenspezifische Erkennung und Behebung. Allein anhand der vorliegenden Erkenntnisse können Administratoren nicht feststellen, ob die Angreifer eine neu entdeckte Schwachstelle, eine ältere ungepatchte Sicherheitslücke oder eine Fehlkonfiguration ausgenutzt haben.

Die allgemeine Gefährdungslage ist dennoch eindeutig. Ein aus dem Internet erreichbarer Exchange-Server kann sowohl als Einstiegspunkt als auch als dauerhafte Position innerhalb einer Organisation dienen, wenn er verwundbar oder unzureichend geschützt ist.

Kaspersky hat weder Hashes noch Dateinamen, Command-and-Control-Infrastruktur oder Protokolldetails zu Gorilla RAT veröffentlicht. Verteidiger müssen daher nach Verhaltensmustern suchen, statt sich ausschließlich auf unveränderliche Indikatoren zu verlassen. Relevante Signale sind unter anderem unerklärliche ausgehende Verbindungen von Exchange-Systemen, ungewöhnlicher Proxy-ähnlicher Datenverkehr sowie Zugriffe eines Mailservers auf interne Ressourcen, mit denen er normalerweise nicht kommuniziert.

Monkey Ransomware wurde in mehreren Varianten weiterentwickelt

Monkey Ransomware tauchte erstmals im Spätsommer oder Frühherbst 2025 auf. In den darauffolgenden Monaten veränderten die Betreiber die Malware wiederholt und erstellten Versionen in unterschiedlichen Programmiersprachen.

Die Malware verschlüsselt Benutzerdaten und kennzeichnet betroffene Dateien mit der Erweiterung .monkey. In kompromittierten Umgebungen wurden mehrere Varianten gefunden. Das deutet auf eine fortlaufende Entwicklung und nicht auf den Einsatz eines einzigen unveränderten Builds hin.

Kaspersky bewertete, dass die Geschwindigkeit und das Ausmaß dieser Änderungen auf Unterstützung durch generative KI hindeuten könnten. Ein Modell könnte dabei helfen, Funktionen umzuschreiben, Code zwischen Programmiersprachen zu übertragen oder schneller alternative Implementierungen zu erzeugen, als dies einem kleinen Team bei manueller Arbeit möglich wäre.

Das bleibt eine Einschätzung und ist kein Beweis. Eine schnelle Weiterentwicklung könnte ebenso auf herkömmliches Ausprobieren, die Wiederverwendung vorhandenen Codes oder die Arbeit mehrerer Entwickler zurückgehen. Es wurden keine direkten Belege veröffentlicht, wonach Hacking Cat Eingaben in einen KI-Dienst eingegeben oder von einem Modell erzeugten Code übernommen hat.

Für das Verständnis der Entwicklungskapazitäten ist diese Unterscheidung relevant, für die Reaktion auf Sicherheitsvorfälle jedoch nicht. Unabhängig davon, wie die Varianten erstellt wurden, können häufige Neufassungen die Wirksamkeit signaturbasierter Erkennung verringern und den Vergleich zwischen Samples erschweren.

Die verfügbaren Informationen nennen weder den Verschlüsselungsalgorithmus von Monkey noch das Schlüsselmanagement, das Format der Lösegeldforderung oder die Frage, ob eine technische Wiederherstellung der Dateien möglich ist. Unklar ist außerdem, ob die Betreiber über einen zuverlässigen Entschlüsselungsprozess für zahlende Opfer verfügen.

Nemo Wiper deutet auf Ziele jenseits der Erpressung hin

Die Aktivitäten von Hacking Cat können nicht ausschließlich als finanziell motivierte Ransomware-Angriffe betrachtet werden. Forscher beobachteten Nemo Wiper bei einer gemeinsamen Operation mit der Ukrainian Cyber Alliance und kamen zu dem Schluss, dass die Malware Informationen zerstören und Infrastruktur stören sollte.

Im Juni, wobei das Jahr nicht genannt wurde, führten die beiden Gruppen einen destruktiven Angriff gegen Donbassteploenergo durch. Der staatliche Wärmeversorger ist in von Russland besetzten Gebieten der ukrainischen Region Donezk tätig.

Ein Wiper stellt ein anderes Risiko dar als herkömmliche Ransomware. Eine zur Erpressung eingesetzte Verschlüsselung lässt theoretisch die Möglichkeit einer Entschlüsselung offen, auch wenn eine Zahlung niemals die Wiederherstellung garantiert. Destruktive Malware kann Informationen stattdessen überschreiben oder beschädigen, ohne eine praktikable Möglichkeit zur Wiederherstellung zu erhalten.

Hacking Cat arbeitete außerdem mit der pro-ukrainischen Cyber Anarchy Squad zusammen. Im März, erneut ohne Angabe des Jahres, übernahmen die Gruppen die Verantwortung für die Kompromittierung eines Dienstleisters von Rosatom, Russlands staatlichem Nuklearenergiekonzern. Einzelheiten zur Methode des Erstzugriffs, zu den kompromittierten Systemen und zu den operativen Auswirkungen sind nicht bekannt.

Diese Kooperationen zeigen, dass Kampagnen Zugriff, Tools und öffentliche Bekennerschreiben mehrerer Akteure miteinander verbinden können. Ein einzelner Angriff kann daher mehr als eine Gruppe und mehr als ein Ziel umfassen.

Gemeinsam genutzte Malware erschwert die Zuordnung

Die Zuordnung durch Kaspersky ist nicht unumstritten. Hacking Cat bestätigte in einer Stellungnahme auf Telegram, einige der Tools zu besitzen, bestritt jedoch, dass die Ransomware-Sperrprogramme der Gruppe gehörten. Die Gruppe warf den Forschern vor, Malware verschiedener, voneinander unabhängiger Akteure fälschlich zusammengeführt zu haben, und stellte Teile ihrer Reverse-Engineering-Arbeit infrage.

Die Forscher fanden dieselbe Malware außerdem bei Operationen, die anderen Gruppen zugeschrieben werden. In einigen Fällen verwendeten offenbar verschiedene Akteure identische mehrstufige Infektionsketten.

Eine mögliche Erklärung ist eine zentrale oder teilweise zentrale Entwicklung. Ein einzelner Programmierer oder ein kleines Entwicklerteam könnte Tools erstellen und pflegen, die anschließend an mehrere pro-ukrainische Hacktivistengruppen verteilt werden.

Ein solches Modell würde die Grenze zwischen Entwicklern und Betreibern verwischen. Der Fund einer bestimmten Malware-Familie auf einem Opfersystem würde dann nicht zwangsläufig die Gruppe identifizieren, die das Ziel ausgewählt, den Angriff durchgeführt oder die Infrastruktur kontrolliert hat.

Der Austausch von Tools erhöht außerdem das Risiko einer zirkulären Zuordnung. Ermittler könnten Malware anhand eines früheren Vorfalls einer Gruppe zuordnen und diese Zuordnung anschließend nutzen, um spätere Angriffe zuzuschreiben, obwohl sich das Tool inzwischen auf andere Betreiber ausgebreitet hat.

Die Erkenntnisse stützen daher einen Zusammenhang zwischen Hacking Cat, den beobachteten Kampagnen und einigen der maßgeschneiderten Tools. Sie belegen jedoch nicht, dass die Gruppe alleiniger Eigentümer jeder Variante von Monkey Ransomware ist.

Exchange-Betreiber sollten nach Aktivitäten nach der Kompromittierung suchen

Für diese Kampagnen wurden bislang keine formellen Maßnahmen zur Risikominderung oder anbieterspezifischen Indikatoren veröffentlicht. Organisationen, die Microsoft Exchange betreiben, sollten mit unterstützten Sicherheitsupdates beginnen und sicherstellen, dass von außen erreichbare Server nicht über relevante Patches des Herstellers verfügen.

Da die ausgenutzten Schwachstellen und betroffenen Versionen weiterhin unbekannt sind, darf das alleinige Einspielen von Patches nicht als Beleg dafür gelten, dass ein System nie kompromittiert wurde. Administratoren sollten historische Exchange-Aktivitäten, Authentifizierungsprotokolle, neu erstellte Konten und von Mailserver-Komponenten gestartete Prozesse überprüfen.

Der Zugriff auf Management-Schnittstellen sollte überall dort eingeschränkt werden, wo dies betrieblich möglich ist. Unerwartete Verbindungen von Exchange-Hosts zu internen Systemen müssen untersucht werden, insbesondere wenn sie Tunneling, Proxying oder laterale Bewegungen ähneln.

Verteidiger sollten Endgeräte und Dateiserver außerdem nach Dateien mit der Endung .monkey, unerklärlichen Änderungen an großen Dateimengen und gleichzeitig auftretenden Verschlüsselungsvorgängen in mehreren Verzeichnissen durchsuchen. Backup-Systeme müssen separat überprüft werden, um sicherzustellen, dass Angreifer keine Wiederherstellungskopien gelöscht oder beschädigt haben.

Bei möglichem Wiper-Verhalten ist eine schnelle Isolation erforderlich. Zu den Indikatoren gehören großflächige destruktive Schreibvorgänge, plötzlich beschädigte Dateien, die Löschung von Wiederherstellungsmaterial und koordinierte Störungen auf mehreren Rechnern.

Der wirksamste defensive Ansatz besteht darin, diese Signale miteinander zu verknüpfen, statt sie unabhängig voneinander zu untersuchen. Verdächtige Exchange-Aktivitäten, gefolgt von internem Tunneling, der Bereitstellung unbekannter Remote-Access-Software und umfangreichen Dateiänderungen, können die vollständige Angriffskette sichtbar machen, bevor sich die Verschlüsselung oder Zerstörung auf den Rest des Netzwerks ausbreitet.