Extrem gefährlich

“APT28”: Was man über Russlands Elite-Hacker weiß

(Bild: thinkstockphotos.de, krone.at-Grafik)

Unter dem Namen "APT28" wird in westlichen IT-Sicherheitskreisen eine Hacker-Gruppe geführt, bei der eine Verbindung zu russischen Regierungsstellen vermutet wird. Das US-Sicherheitsunternehmen Fireeye sieht in "APT28" eine "kriminelle russische Organisation". Sie sei auch für die Attacke auf die Rechner im Deutschen Bundestag verantwortlich.

Andere Experten sehen dagegen nicht genügend schlüssige Beweise für einen russischen Ursprung der Attacke auf den Bundestag, weil die von "APT28" eingesetzte Software im Internet verfügbar sei. Deutsche Sicherheitsbehörden gehen allerdings ebenfalls davon aus, dass russische Hacker mit staatlichem Hintergrund Urheber der Attacken sind.

Viele Hinweise führen nach Russland
Klarer sind die Indizien bei Angriffen gegen die Nato sowie Regierungsstellen und Journalisten in Osteuropa und im Kaukasus, die "ATP28" zugerechnet werden: Die Zeitstempel in der Schadsoftware, die dabei eingesetzt wurde, entsprechen den üblichen Arbeitszeiten im europäischen Teil Russlands. Außerdem gibt es Belege dafür, dass die Autoren Russisch können. Der zweite Name für "APT28" - "Sofacy" - geht auf die Bezeichnung für eines der Angriffsprogramme der Gruppe zurück. Die Abkürzung APT steht für Advanced Persistent Threat (etwa: fortgeschrittene andauernde Bedrohung).

Westliche Sicherheitsexperten haben in Russland noch eine zweite Gruppe mit dem Namen "Sandworm" verortet, die sich auf Cyber-Sabotage spezialisiert hat. So soll eine Attacke auf ein Kraftwerk in der Ukraine im vergangenen Dezember auf das Konto von "Sandworm" gegangen sein. Damals fiel in jedem zweiten Haushalt in der Region Ivano-Frankivsk der Strom aus. Bei der Attacke wurde die Malware "BlackEnergy" verwendet, die als Anhang von E-Mails verschickt wurde - ein gängiger Weg einer Infektion mit Schadsoftware.