Die Rostelecom-Tochter entdeckte den Einbruch nach eigenen Angaben im Dezember 2025; erste Spuren einer Kompromittierung reichen jedoch bis Anfang 2024 zurück. Der Name der betroffenen Organisation wurde nicht genannt, auch der genaue Erstzugangsvektor ist unbekannt.
Die Gruppe ist mindestens seit 2020 aktiv und hat in der Vergangenheit Industriebetriebe und Behörden in Russland und Belarus mit der Hintertür Vasilek angegriffen, die Telegram zur Steuerung (Command-and-Control) und zum Abfluss von Daten nutzt. Einige Angriffe setzten auf Phishing-Köder, über die ein Installationsprogramm ausgeliefert wurde, das gleichzeitig die legitime Software FortiClient VPN und das quelloffene Werkzeug DNSCat2 einrichtet, mit dem Angreifer Kontrolle über den infizierten Rechner erlangen können. Bemerkenswert ist zudem die Fähigkeit der Gruppe zu destruktiven Angriffen mit einem Wiper namens Pryanik sowie das systematische Löschen von Windows-Ereignisprotokollen mithilfe eines Dienstprogramms namens Evlx.
Anders als bei früheren den Cyber Partisans zugeschriebenen Angriffen blieben die Akteure diesmal über lange Zeit im Netzwerk, ohne zerstörerische Aktionen auszuführen – ein Bruch mit dem bisherigen Vorgehen. „Die angegriffene Organisation verfügte über eine ausgedehnte Infrastruktur und wechselseitige Vertrauensbeziehungen zu zahlreichen untergeordneten medizinischen Einrichtungen“, erklärte Solar. „Wir vermuten, dass das Ausbleiben einer Störung der Infrastruktur gerade auf den Wert dieses Zugangs für weitere Spionage und Angriffe über Vertrauensbeziehungen zurückzuführen ist.“
Beobachtet wurde im Rahmen des Einbruchs ein als Lader und Zeitplaner fungierender Dienst namens „vmauad“, der sich als legitime VMware-Komponente ausgibt, um Persistenz zu sichern und oberflächlichen Prüfungen zu entgehen. Dafür nutzten die Angreifer ein als vertrauenswürdig geltendes, aber nicht überwachtes Verzeichnis der VMware Tools, um dort schädliche ausführbare Dateien abzulegen oder legitime VMware-DLLs durch eine manipulierte Version („vmtools.dll“) mit der Hintertür zu ersetzen.
Hauptaufgabe des Windows-Dienstes ist der Start der untergeschobenen Binärdatei „C:\Program Files\VMware\VMware Tools\authd.exe“. Diese öffnet jeden Samstag zwischen 22 und 23 Uhr einen GOST-Tunnel und startet acht Stunden nach dem Dienstbeginn einmalig eine aktualisierte Vasilek-Version (1.5.8).
Einmal installiert, kann Vasilek:
- Informationen über den infizierten Rechner sammeln
- Windows-Befehle ausführen
- Prozesse starten und beenden
- Dateien übertragen
- Bildschirmfotos anfertigen
- Tastatureingaben aufzeichnen
- Rechte über runas ausweiten
- den Ruhezustand des Rechners verhindern
- sich selbst aktualisieren oder entfernen
Neu hinzugekommen ist der Befehl „move_cursor“, mit dem die Hintertür den Mauszeiger bewegen und so Benutzereingaben auf dem Bildschirm des Opfers simulieren kann.
„Die Gruppe investiert konsequent in Tarnung und operative Sicherheit statt in neue Fähigkeiten: Hostnamen-Bindung in zwei voneinander unabhängigen Komponenten, nächtlich geplante Starts der Schadlast, Übernahme des System-Proxys, Tarnung als legitim installierte, aber ungenutzte Software, Dateirotation über dieselben Pfade, Manipulation von Zeitstempeln, Unterdrückung ausgehender Nachrichten und anonyme Nachrichten im Namen der Gruppe in Operator-Chats“, so Solar. „Der Funktionsumfang der Hintertür ist über vier Überarbeitungen hinweg weitgehend unverändert geblieben. Da Telegram in Russland von den Internetanbietern blockiert wird, ist die Kommunikation zwischen der Vasilek-Hintertür und dem C2 instabil geworden.“
Parallel legte Solar Einzelheiten zu einer Phishing-Kampagne offen, die JavaScript-Anhänge einsetzt, die geschäftliche Dokumente wie Zahlungen und Bestellungen nachahmen, um eine bislang unbeschriebene Schadsoftware-Familie namens HypeAgent auszuliefern. Der Windows-Trojaner ist auf die vollständige Übernahme infizierter Systeme ausgelegt: Er kann Dateien stehlen, eine Konsole öffnen, den Desktop-Hintergrund ändern, die Webcam einschalten, Tastatureingaben mitschneiden, versteckte VNC- und RDP-Sitzungen starten, die Maus steuern und sogar einen Kryptowährungs-Miner einrichten. Zudem stiehlt er Cookies von Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude und Cursor und manipuliert die installierte Exodus-Wallet-App, um JavaScript einzuschleusen, das Passwort, PIN, Mnemonic-Phrase und privaten Schlüssel des Opfers abgreift.
Bereits im Juni beobachtete Solar legitime Infrastruktur, die von der Proxyware-Botnet-Schadsoftware ProxyCB kompromittiert worden war und automatisierte Anfragen an russische Websites und Online-Plattformen stellte. Dabei wurden mögliche Überschneidungen zwischen der Botnet-Infrastruktur und früherer Aktivität des Clusters TeamSpy festgestellt, das für den Missbrauch von TeamViewer zu Aufklärung und Datendiebstahl bekannt ist.
Im vergangenen Monat erhob das US-Justizministerium Anklage gegen den 40-jährigen russischen Staatsbürger Searzhudin Tamirlanovich Aktulaev, der im Mai 2025 aus Zypern ausgeliefert wurde. Ihm wird vorgeworfen, 2016 und 2017 über den Nachrichtendienst einer bekannten Freelancer-Plattform mit 255 gefälschten Konten Excel-Anhänge mit Schadsoftware an rund 80.000 Nutzer verschickt zu haben. Dabei kamen eine Variante von TVRAT (auch Sheldor, SpyAgent, TeamBot, TeamSpy und TVSPY genannt) sowie DarkVNC zum Einsatz, um Daten von Opferrechnern zu sammeln und an einen vom Angreifer kontrollierten Server zu senden. Schätzungen zufolge wurden dabei Tausende Computer infiziert.