Der bedeutendste Vorfall ereignete sich Ende Mai: Eine mit Belarus verbundene Gruppe führte einen destruktiven Cyberangriff gegen ein ukrainisches Produktionsunternehmen durch, dem eine wichtige Rolle im Verkehrssektor des Landes zugeschrieben wird. ESET ordnet den Angriff der Gruppe GhostWriter zu, die mit belarussischen Geheimdiensten in Verbindung gebracht wird und zuvor Cyberspionage- und Einflussoperationen gegen die Ukraine, Polen und weitere Länder der Region durchgeführt hat.

Nach Angaben von ESET handelt es sich um den ersten destruktiven Cyberangriff einer belarussisch ausgerichteten Gruppe, den die eigenen Forscher in Europa dokumentiert haben – eine Eskalation gegenüber den bislang beobachteten Aktivitäten der Gruppe. Eingesetzt wurde eine datenlöschende Schadsoftware (Wiper), die Informationen auf kompromittierten Systemen tilgen und deren Betrieb stören kann. ESET konnte nicht klären, ob die Schadsoftware Schaden anrichten oder lediglich die Spuren einer Spionageoperation verwischen sollte.

Unabhängig vom Motiv der Angreifer schaffe der Vorfall „einen Präzedenzfall" und erhöhe die Wahrscheinlichkeit, dass weitere belarussisch ausgerichtete staatliche Gruppen in naher Zukunft Wiper-Angriffe ausführen, erklärten die Forscher.

Belarus hat keine eigenen Truppen in den Krieg gegen die Ukraine entsandt, unterstützt die russische Invasion aber, indem es Moskau erlaubt, sein Territorium für Militäroperationen und Raketenangriffe zu nutzen. Historisch konzentrierten sich belarussische Hackergruppen auf Spionage und Einflussoperationen im Dienst der eigenen Interessen von Minsk; der jüngste destruktive Angriff war laut ESET dagegen deutlich enger an den Kriegsprioritäten Russlands ausgerichtet.

Die Forscher identifizierten zudem mehrere weitere mit Belarus verbundene Spionageoperationen gegen Organisationen, die im Zusammenhang mit dem Krieg für Russland von besonderem Interesse sind. Belarussische Gruppen agieren demnach zunehmend als Stellvertreter oder „Kräfteverstärker" für Russland. ESET warnte, der Trend könne zu einer engeren Zusammenarbeit zwischen russischen und belarussischen Angreifern führen – einschließlich des Teilens von Werkzeugen und Infrastruktur, der Auslagerung von Zielauswahl oder sogar direkter Kooperation bei Cyberangriffen.

Wachsende Rolle Nordkoreas

Neben belarussischen Gruppen stellte ESET fest, dass nordkoreanische Angreifer ihre Cyberattacken gegen ukrainische Ziele ausgeweitet haben – vor dem Hintergrund der zunehmenden militärischen Zusammenarbeit zwischen Pjöngjang und Moskau. Die Forscher fanden teilweise Überschneidungen zwischen den nachrichtendienstlichen Interessen beider Staaten, insbesondere mit Blick auf die sich rasch entwickelnde ukrainische Drohnenindustrie. Die Belege dafür, dass nordkoreanische Cyberoperationen die russischen Kriegsanstrengungen direkt unterstützen, seien jedoch weniger eindeutig als die beobachtete Annäherung der belarussischen Gruppen.

Nordkoreanische Angreifer weiteten ihre Angriffe auf ukrainische Organisationen dennoch aus und suchen dabei möglicherweise Erkenntnisse und technisches Know-how, das den eigenen militärischen Fähigkeiten Pjöngjangs zugutekommen könnte.

Auch andere Sicherheitsforscher berichten von wachsendem nordkoreanischem Interesse an ukrainischen Zielen. Anfang Oktober erklärte das südkoreanische Sicherheitsunternehmen Genians, die nordkoreanische Gruppe Kimsuky habe ukrainische Fachleute aus den Bereichen Diplomatie, Sicherheit und internationale Politik ins Visier genommen. Im Mai 2025 berichtete Proofpoint, dass mit Nordkorea verbundene Angreifer Schadmails an ukrainische Regierungsbehörden verschickt hatten – möglicherweise auf der Suche nach Informationen über Gefahren für die an der Seite russischer Truppen eingesetzten nordkoreanischen Soldaten.