Russische Hacker geben sich als IfW Kiel aus

Aus einem vertraulichen Bericht von IT-Sicherheitsforschern der IBM-Tochter X-Force geht hervor, dass russische Staatshacker die Website des Kieler Instituts für Weltwirtschaft (IfW Kiel) imitierten, um Besuchern gefährliche Schadsoftware aufzuspielen.

Die Autoren des Reports, der ZDF frontal und dem "Spiegel" exklusiv vorliegt, schreiben den Angriff über die gefälschte Institutsdomain der berüchtigten Hackergruppe APT28 alias "Fancy Bear" zu - jener Gruppe, die bereits mit Cyberangriffen auf den Bundestag (2015) und den SPD-Parteivorstand (2023) für Aufsehen sorgte.

In einer großangelegten und bereits seit Monaten laufenden Phishing-Kampagne versenden die Angreifer E-Mails mit Links, die zu eigens dafür eingerichteten und scheinbar seriösen Webseiten führen.

Eine dieser "Lockseiten" hatte das Kürzel IfW-Kiel in der Netzadresse. Wer sie ansteuerte, sah darauf ein unscharfes, scheinbar offizielles Dokument - und wurde aufgefordert, dort erneut zu klicken, um es lesen zu können. Damit wurde unbemerkt der Download eines Schadprogramms gestartet.

Das Bundesamt für Sicherheit in der Informationstechnik erklärt auf Anfrage, der Fall sei bekannt. Da die Fake-Seite inzwischen nicht mehr erreichbar sei, könne jedoch nicht bewertet werden, "ob das IfW Kiel selbst das Angriffsziel war oder ob dessen Name nur als Köder für Angriffe auf andere Ziele verwendet wurde".

Auf Anfrage teilt ein IT-Sicherheitsforscher von X-Force mit, dass APT28 Einblicke in "anstehende politische Entscheidungen" haben wolle. Das Ziel der Hacker sei es, den russischen Staat zu unterstützen. Die Hacker hätten im vergangenen Jahr "ganz gezielt Dutzende von authentischen Dokumenten verwendet", um sich vor allem als staatliche Stellen auszugeben - und anschließend ihren Opfern Spionagesoftware auf die Rechner zu spielen.

Die IBM-Tochter X-Force warnt in ihrem Bericht auch vor zwei weiteren von APT28 eingerichteten Fake-Adressen mit dem Kürzel der Agentur der Europäischen Union für das Weltraumprogramm (Euspa). Auch beim jüngsten Angriff auf die Deutsche Flugsicherung, bei der die Büro-IT infiltriert wurde, gelten die Hacker von APT 28 als Hauptverdächtige.