Als Einstiegswerkzeug diente den Angreifern die erst kürzlich entdeckte Backdoor Hookedge, mit der sie Zugang zu Systemen erlangten, Zugangsdaten stahlen und Informationen über die Netzwerke sammelten. Die Schadsoftware war im August erstmals von der Insikt Group von Recorded Future dokumentiert worden.

Bei einem Angriff auf den Marineschiffbauer verschafften sich die Täter Zugang, nachdem ein Mitarbeiter im Juli ein bösartiges Microsoft-Word-Dokument aus einem E-Mail-Anhang geöffnet hatte. Anschließend erkundeten die Angreifer das interne Netz des Unternehmens und versuchten, Anmeldedaten zu entwenden.

In der darauffolgenden Woche kehrten sie wiederholt auf einen kompromittierten Rechner zurück und setzten ein bislang nicht dokumentiertes Werkzeug ein, das Schadcode entschlüsselt und direkt im Arbeitsspeicher ausführt. Welchem Zweck dieses Werkzeug letztlich diente, ist unklar.

Die erste bestätigte Infektion datieren die Forscher auf den 24. Juli, zugehörige schädliche Aktivität wurde noch am 24. September festgestellt. Die Operation erstreckte sich damit über mindestens zwei Monate; ob die Angreifer in dieser Zeit durchgehend Zugriff hatten, ließ sich nicht klären.

Dick O’Brien, Intelligence-Analyst bei Symantec, sagte, die Forscher hätten nicht feststellen können, ob den Angreifern der Diebstahl sensibler Informationen gelungen sei. “Angesichts der Art der Ziele ist die Annahme vertretbar, dass verteidigungsbezogene Informationen das Ziel der Angriffe waren”, so O’Brien. “In einigen Fällen waren die Angreifer einige Wochen lang im Netzwerk, was ihnen Gelegenheiten verschafft haben könnte, an Daten zu gelangen.”

Nach Einschätzung von Symantec deutet die Auswahl der Ziele darauf hin, dass die Angriffe Teil einer breiter angelegten russischen Aufklärungsanstrengung gegen europäische Regierungs- und Verteidigungsorganisationen sind. Dass die Aktivität im September und damit nach den ersten Erkenntnissen von Recorded Future im August weiterging, spricht laut O’Brien dafür, dass die Spionagekampagne andauert.

APT28, auch bekannt als Fancy Bear, BlueDelta und Forest Blizzard, führt seit über einem Jahrzehnt Cyberspionage gegen Militär-, Regierungs- und Verteidigungsorganisationen in Europa und Nordamerika durch. Internationale Aufmerksamkeit erlangte die Gruppe 2016, als sie mit dem Hack des Democratic National Committee vor der US-Präsidentschaftswahl in Verbindung gebracht wurde.

Westliche Cybersicherheitsbehörden haben wiederholt vor den Versuchen der Gruppe gewarnt, Organisationen aus dem Bereich Verteidigung und Militärlogistik zu kompromittieren, insbesondere solche, die die Ukraine unterstützen. Im April warnten britische Sicherheitsbehörden, APT28 habe Schwachstellen in Internet-Routern ausgenutzt, um Web-Verkehr umzuleiten und Opfer auszuspähen. Zudem identifizierten Forscher Anfang dieses Jahres der Gruppe zugeschriebene Aktivitäten gegen Organisationen aus Seefahrt, Transport und Diplomatie unter anderem in Polen, Slowenien, der Türkei, Griechenland und den Vereinigten Arabischen Emiraten. Im vergangenen Jahr warfen mehr als 20 westliche Geheimdienst- und Cybersicherheitsbehörden APT28 in einer gemeinsamen Warnmeldung vor, Logistikdienstleister und Technologieunternehmen ins Visier zu nehmen, die an der Lieferung ausländischer Hilfe für die Ukraine beteiligt sind.