Russische Bedrohungsgruppen nutzen RDP, VPN, Lieferkettenangriffe und Social Engineering für den ersten Zugriff

Sicherheitslage und Risiko

Gruppen wie UAC-0238 nutzten exponierte RDP-Dienste, um Ransomware-Varianten wie X2anylock, Warlock und LockBit 3.0 in kompromittierte Umgebungen einzuschleusen. VPN-Geräte wurden über Schwachstellen wie CVE-2025-20333 und CVE-2025-20362 angegriffen, was Angreifern einen direkten Tunnel in interne Netzwerke ermöglichte.

Supply-Chain-Verletzungen fügten eine weitere ernste Risikodimension hinzu. Akteure zielten auf Software-Update-Mechanismen, Drittanbieter-Tools und IT-Dienstleister ab, um Hintertüren zu installieren, wo die Prüfung in der Regel geringer ist.

Nach dem Eindringen setzten die Angreifer Malware-Familien wie Remcos RAT, DarkCrystal RAT, XWorm und Lumma Stealer ein, um einen dauerhaften Zugriff zu gewährleisten.

Sicherheitslage und Risiko

Zudem wurden Schwachstellen in weit verbreiteten Plattformen ausgenutzt, darunter Fehler in Roundcube (CVE-2024-42009, CVE-2025-49113), Fortinet-Geräten (CVE-2024-55591, CVE-2024-21762) sowie Archivierungstools wie WinRAR und 7-Zip.

Auch ältere Microsoft Office-Schwachstellen (CVE-2017-11882, CVE-2017-0199), die in vielen Organisationen weiterhin unpatcht sind, wurden genutzt, was belegt, dass Legacy-Schwachstellen nach wie vor reale Konsequenzen haben.

Die Payloads wurden über Dateitypen wie SVG, PNG, LNK, JS und HTA-Dateien übermittelt, die häufig auf legitimen Diensten wie Dropbox, Google Drive und Cloudflare Tunnels gehostet wurden, um Netzwerksicherheitsmaßnahmen zu umgehen.

Techniken zum „Living off the Land",

Techniken zum „Living off the Land", die integrierte Tools wie PowerShell, certutil, mshta.exe und rundll32 nutzen, ermöglichten es den Angreifern, sich in den normalen Systemaktivitäten zu tarnen und Entdeckung zu vermeiden.

Social Engineering und Phishing-Kampagnen Soziales Engineering blieb 2025 eine der zuverlässigsten Methoden, die russische Bedrohungsgruppen zur Infiltration einsetzten. Phishing-Anlockungen wurden über E-Mail-Plattformen wie Microsoft O365, Roundcube und Zimbra sowie über Messaging-Dienste wie Signal, WhatsApp und Telegram versendet.

Techniken wie ClickFix, gefälschte CAPTCHA-Aufforderungen und PowerShell-basierte Ausführungstricks ermöglichten Angreifern die Auslieferung von Malware, ohne sofortige Alarme auszulösen.

Sicherheitslage und Risiko

OAuth-Phishing, Device-Code-Phishing mit Fokus auf Microsoft Teams sowie App-spezifisches Passwort-Phishing gegen Google-Konten wurden beobachtet und zielten auf über tausend Personen ab.

Zudem wurde QR-Code-basierte Session-Hijacking-Methode unter dem Namen GhostPairing eingesetzt, und gefälschte Android-APK-Dateien verbreiteten sich außerhalb von Google Play, um Geräte mit Werkzeugen wie CamelSpy zu infizieren.

Um diesen Bedrohungen zu begegnen, wird Organisationen empfohlen, die mehrstufige Authentifizierung durchzusetzen, eine Zero-Trust-Architektur zu implementieren und Protective DNS einzusetzen, um bösartige Domänen zu blockieren.

Sicherheitslage und Risiko

Ein Patch-Management für sowohl neue als auch veraltete Schwachstellen ist unerlässlich, und Mitarbeiter sollten regelmäßig geschult werden, um Versuche der Social Engineering zu erkennen. Sicherheitsteams sollten den Zugriff auf RDP einschränken und auf ungewöhnliche Nutzung von integrierten Systemwerkzeugen achten, die Angreifer häufig wiederverwenden.

Indikatoren für Kompromittierungen (IoCs): CVE: Indikator: CVE-2025-20333; Beschreibung: Schwachstelle in Cisco ASA/AnyConnect VPN, die für den ersten Zugriff genutzt wird. CVE: Indikator: CVE-2025-20362; Beschreibung: Schwachstelle in Cisco ASA/AnyConnect VPN, die für den ersten Zugriff genutzt wird.

CVE: Indikator: CVE-2024-42009; Beschreibung: Schwachstelle in Roundcube Webmail, die von russischen APT-Gruppen ausgenutzt wurde. CVE: Indikator: CVE-2024-37383; Beschreibung: Schwachstelle in Roundcube Webmail, die in Kampagnen ausgenutzt wurde.

Sicherheitslage und Risiko

CVE: Indikator: CVE-2025-49113; Beschreibung: Schwachstelle in Roundcube Webmail, die in Kampagnen des Jahres 2025 eingesetzt wurde. CVE: Indikator: CVE-2025-48700; Beschreibung: Schwachstelle in Roundcube Webmail, die im Jahr 2025 ausgenutzt wurde.

CVE: Indikator: CVE-2024-55591; Beschreibung: Schwachstelle in einem Fortinet-Gerät, die für den ersten Zugriff ausgenutzt wurde. CVE: Indikator: CVE-2024-21762; Beschreibung: Schwachstelle in einem Fortinet-Gerät, die für den ersten Zugriff ausgenutzt wurde.

CVE: Indikator: CVE-2025-24472; Beschreibung: Schwachstelle in einem Fortinet-Gerät, die für den ersten Zugriff ausgenutzt wurde. CVE: Indikator: CVE-2017-11882; Beschreibung: Veraltete Schwachstelle in Microsoft Office, die weiterhin aktiv ausgenutzt wird.

Sicherheitslage und Risiko

CVE: Indikator: CVE-2017-0199; Beschreibung: Veraltete Schwachstelle in Microsoft Office, die weiterhin aktiv ausgenutzt wird. CVE: Indikator: CVE-2025-6218; Beschreibung: Schwachstelle in WinRAR, die von Gamaredon/Sandworm/RomCom genutzt wurde. CVE: Indikator: CVE-2025-8088; Beschreibung: Schwachstelle in WinRAR, die von UAC-0180 (RomCom) genutzt wurde.

CVE: Indikator: CVE-2025-0411; Beschreibung: Schwachstelle in 7-Zip, die von UAC-0006 ausgenutzt wurde. CVE: Indikator: CVE-2024-38213; Beschreibung: Von Sandworm ausgenutzt (UAC-0212). CVE: Indikator: CVE-2025-43300; Beschreibung: Sicherheitslücke in Apple iOS/macOS.

CVE: Indikator: CVE-2025-49844; Beschreibung: Sicherheitslücke in Redis (1010 Instanzen betroffen). CVE: Indikator: CVE-2025-49090; Beschreibung: Sicherheitslücke in der Matrix-Plattform. CVE: Indikator: CVE-2025-54315; Beschreibung: Sicherheitslücke in der Matrix-Plattform.

Sicherheitslage und Risiko

Malware: Indikator: Remcos RAT; Beschreibung: Remote-Access-Trojaner für persistente Zugriffe. Malware: Indikator: DarkCrystal RAT; Beschreibung: Remote-Access-Trojaner, der nach einer Kompromittierung eingesetzt wird. Malware: Indikator: XWorm; Beschreibung: Schadsoftware, die in mehreren von Russland unterstützten Kampagnen verwendet wurde.

Malware: Indikator: Lumma Stealer; Beschreibung: Credential- und Datendiebstahl-Tool, das von mehreren Gruppen eingesetzt wird. Malware: Indikator: LameHug; Beschreibung: Schadsoftware, die von UAC-0001 (APT28) verwendet wird. Malware: Indikator: HomeSteel; Beschreibung: Tool zur Datenexfiltration, das ukrainische Organisationen angreift.

Malware: Indikator: WreckSteel; Beschreibung: Zerstörerische/Exfiltrations-Malware in Kampagnen von 2025. Malware: Indikator: FileMess; Beschreibung: Malware, die in auf die Ukraine zielenden Kampagnen eingesetzt wurde. Malware: Indikator: GiftedCrook; Beschreibung: Stealer, der VPN-Zugangsdaten und Telegram-Daten abgreift.

Sicherheitslage und Risiko

Malware: Indikator: CamelSpy; Beschreibung: Android-Spyware, die über gefälschte APKs verbreitet wird. Malware: Indikator: ZEROLOT; Beschreibung: Wiper-Malware, die mit Sandworm in Verbindung steht. Malware: Indikator: PathWiper; Beschreibung: Wiper-Malware, die ukrainische Organisationen angreift.

Malware: Indikator: Sting; Beschreibung: Malware, die von Sandworm in 2025 eingesetzt wurde. Malware: Indikator: Snake Keylogger; Beschreibung: Keylogger, der in Phishing-basierten Kampagnen verwendet wurde. Malware: Indikator: PicassoLoader; Beschreibung: Loader, der von UAC-0057 (Ghostwriter) genutzt wird.

Malware: Indikator: SmokeLoader; Beschreibung: Loader-Malware, die in mehreren Kampagnen zum Einsatz kam. Malware: Indikator: NetSupport RAT; Beschreibung: Legitimes RMM-Tool, das als Malware missbraucht wurde. Malware: Indikator: Pterodo; Beschreibung: Backdoor im Zusammenhang mit UAC-0010 (Gamaredon).

Sicherheitslage und Risiko

Malware: Indikator: AgentTesla; Beschreibung: Passwortsammel-Malware, die in Phishing-Kampagnen eingesetzt wird. Malware: Indikator: FormBook; Beschreibung: Infostealer, der über Phishing verbreitet wird. Malware: Indikator: Rhadamanthys; Beschreibung: Stealer-Malware, die in Kampagnen des Jahres 2025 verteilt wurde.

Malware: Indikator: RedLine; Beschreibung: Passwortsammler, der in Kampagnen des Jahres 2025 beobachtet wurde. Malware: Indikator: LokiBot; Beschreibung: Infostealer, der über veraltete Office-Exploit-Ketten verbreitet wird. Malware: Indikator: X2anylock; Beschreibung: Ransomware-Variante, die über die Ausnutzung von RDP verbreitet wird.

Malware: Indikator: Warlock; Beschreibung: Ransomware-Variante, die von UAC-0238 eingesetzt wird. Technik: Indikator: GhostPairing; Beschreibung: Technik zur Kontenübernahme mittels QR-Codes. Technik: Indikator: ClickFix; Beschreibung: Soziales Engineering-Trick, der zur Ausführung bösartiger Skripte genutzt wird.

Sicherheitslage und Risiko

Technik: Indikator: Gerätecode-Phishing; Beschreibung: Missbrauch von OAuth/Gerätecodes, gerichtet gegen Microsoft 365. Werkzeug: Indikator: Cloudflare-Tunnels; Beschreibung: Missbrauch für C2-Kommunikation und Hosting von Payloads. Werkzeug: Indikator: Telegram; Beschreibung: Von UAC-0010 und anderen als C2-Kanal genutzt.

Werkzeug: Indikator: Telegraph; Beschreibung: Von UAC-0010 zur IP-basierten C2-Weiterleitung verwendet. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEMs.

Tushar ist ein leitender Berichterstatter für Cybersicherheit und Datenschutzverletzungen. Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenlecks sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Ubiquiti behebt kritische UniFi OS-Schwachstellen, die eine Remote-Eskalation der Rechte ermöglichen. Ein 0-Day-Exploit für das LiteSpeed cPanel-Plugin wird bereits in der Wildnis eingesetzt, um Root-Zugriff auf Server zu erlangen. Ein kanadischer Mann wurde verhaftet, weil er das KimWolf-DDoS-Botnetz betrieb und damit 2 Millionen Geräte kompromittierte.