Forscher verbinden malware in einem ukrainischen regierungssystem mit einem russischen drohenden akteur

Malware in einem Regierungsnetzwerk entdeckt

Cybersicherheitsforscher fanden, dass Amatera-Informations-Stecker-Malware im Computersystem einer unidentifizierten ukrainischen Regierungseinheit funktioniert. Cisco hat mit moderater Vertrauen beurteilt, dass ein russischer Bedrohungsakteur verantwortlich ist. Die Untersuchung fand Werkzeuge, die sensible Informationen sammeln und Fernzugang bieten, einschließlich der Fähigkeit, Dateien zu überprüfen, Daten zu übertragen und Befehl auszuführen.

Die Forscher stellten nicht fest, dass die Informationen tatsächlich gestohlen wurden oder dass ein Angreifer aktiv den installierten Zugriff ausübt. Sie konnten auch das Ausgangspunkt der Infektion nicht wiederherstellen. Diese Grenzen sind wichtig: Die Beweise unterstützen die Beschreibung einer wahrscheinlichen russisch-verwandten Eintrittsituation, nicht einer bestätigten Diebstahl von ukrainischen Regierungsdaten oder einer formell zugeschriebenen staatlichen Operation.

Eine verdächtige Verifikationsdatei

Die Ermittler fanden einen schädlichen Datei, der unter dem Namen „verification.google“ versteckt wurde. In einer separaten Infektion, die die gleiche Amatera Malware beinhaltet, kompromittierte Websites präsentierten die Benutzer mit einem falschen CAPTCHA-Verifizierungsbildschirm. Die Opfer wurden sofort aufgefordert, ein Computerfenster zu öffnen und Text zu stecken, das malware ausführte, anstatt eine echte menschliche Verifizierung zu beenden.

Ähnlichkeiten zwischen den beiden Infektionen führten Cisco zu bewerten, dass der ukrainische Kompromiss möglicherweise durch die gleiche Technik begonnen hat. Es konnte nicht bestätigen, dass die Strecke oder beweisen, dass die gleiche Gruppe beide Unfälle betrieben hat. Die Malware hat auch Software, die mit Kryptowährung und Vertrauensbetrieb verbunden ist, eingesetzt, einschließlich Code, die kopierte Portfolio-Adressen mit Angreifer kontrollierten Zielen ersetzen kann.

Warum die ukrainischen Systeme hochwertige Ziele bleiben

Das ukrainische Außenministerium beschreibt die russische Cyberaktivität als ein ökosystem auf industrieller Ebene, das auf Regierungsorgane, kritische Infrastruktur und strategische Sektoren ausgerichtet ist. Im Juli warnte eine ukrainische Cyber-Diplomatie, dass solche Operationen langfristig Zugang zu Entscheidungsfindung und Informationssystemen in der Ukraine und anderer Stelle in Europa suchen. Diese offizielle Bewertung stellt einen Kontext dar, aber bezieht diese spezifische Einmischung nicht unabhängig.

Die Ukraine stärkt weiterhin ihren Rahmen für die Bewältigung von Unfällen. Neue Regeln, die im Jahr 2026 angenommen wurden, definieren, wie nationale, sektorale und regionale Reaktionsteams Bedrohungsinformationen austauschen und mit CERT-UA koordinieren. Das Rahmen soll die Regierungs- und kritische Infrastrukturberichterstattung schneller und konsistenter machen, wenn malware oder andere verdächtige Aktivitäten festgestellt werden.

Was noch ungelöst bleibt

Weitere forensische Beweise werden benötigt, um die ursprüngliche Zugriffsroute zu identifizieren, zu bestimmen, was die Eindringlinge nach der Installation getan haben und festzustellen, ob die Informationen das Netz verlassen. Die moderate Vertrauenverteilung und die unbekräftige CAPTCHA-Route sollten klar qualifiziert bleiben. Der Fall illustriert jedoch, wie bekannte Web-Verifikation-Prompts zu kompromittieren könnten, ohne eine sofistikierte Software-Schwachheit zu nutzen.