Der Doppelbetrieb eines russischsprachigen Access Brokers: Ransomware für Profit, Spionage für den Staat

Der offene Server: Ein offengelegtes Spielbuch des Betreibers

CloudSEK entdeckte ein offenes Verzeichnis auf einem Server eines Russland-nahen Bedrohungsakteurs, das als Befehlsprotokoll der Aktivitäten des Betreibers diente . Das Verzeichnis enthielt:

• Exploit-Werkzeuge, sortiert nach CVE
• Nach Ländern segmentierte Ziellisten
• Scan-Ergebnisse, unterteilt in verwundbar, nicht verwundbar und unerreichbar
• Einen Kontrollmechanismus, der den Fortschritt bei Hunderttausenden von Zielen verfolgte

Der Server war im Grunde das Spielbuch und der Tastenanschlag-Log des Betreibers, für jeden sichtbar, der wusste, wo er suchen musste.

Ausgenutzte Sicherheitslücken und angegriffene Sektoren

Der Broker hielt Exploits für mindestens 12 verschiedene CVEs bereit, die weit verbreitete Internet-Gateways und Webanwendungen betrafen . Betroffene Hersteller sind Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin und Hikvision . Die meisten Exploit-Codes waren öffentliche Proof-of-Concepts, aber wichtige Exploits für Fortinet und Citrix wurden in modulare Frameworks mit russischsprachigen Wrappern umgewandelt, die SSH-Schlüssel-Injektion, VPN-Benutzererstellung, Admin-Backdoor-Bereitstellung und Massen-Scans automatisierten . Der Betreiber unterhielt auch eine lokale Kopie des nuclei-Templates-Repositorys sowie über 100 benutzerdefinierte Templates zur Erkennung neuer Sicherheitslücken und C2/Stealer-Panels .

Zu den angegriffenen Sektoren gehören Bildung, Gesundheitswesen, Finanzen, Telekommunikation und Regierung – in über einem Dutzend Ländern in Nordamerika, Europa und darüber hinaus .

Beweise für eine vollständige Active-Directory-Kompromittierung

Die Post-Exploitation-Kette des Betreibers liefert klare Beweise für eine vollständige Active-Directory-Dominanz :

• Laterale Bewegung: Neo-reGeorg-Webshells und SOCKS-Tunnel etablierten den ersten internen Zugang, der durch NTLM-basierte laterale Bewegung mittels Evil-WinRM bewaffnet wurde .
• Credential-Diebstahl: DPAPI-Backup-Schlüssel wurden von Domänencontrollern extrahiert; SAM- und LSA-Geheimnisse wurden ausgelesen; im Browser gespeicherte Anmeldedaten wurden geerntet .
• krbtgt-Kompromittierung und Golden Tickets: Der Angreifer extrahierte den krbtgt-Hash und fälschte Kerberos-Tickets mit einer Gültigkeit von einem Jahrzehnt, was einen unbegrenzten Wiedereintritt unabhängig von Passwortzurücksetzungen und Endpunkt-Sanierungen ermöglichte .
• Bestätigung durch einen realen Vorfall: Die Greater Pittsburgh Orthopaedic Associates (GPOA), ein US-Gesundheitsdienstleister, tauchten im Verzeichnis mit bestätigter Domänenkompromittierung auf (Admin-Zugangsdaten geerntet, DPAPI-Backup-Schlüssel vom Domänencontroller extrahiert). GPOA erschien später auf der Leak-Site von RansomHouse nach einem Vorfall im Jahr 2025 – mit einer Verzögerung, die mit den typischen Zeitabläufen von kriminellen Access Brokern zu Ransomware übereinstimmt .

Methoden der Informationssammlung gegen die Ukraine

Spät im operativen Zeitplan wich die Aktivität vom rein kommerziellen Zugangsverkauf ab :

• Sliver C2-Einsatz: Der Betreiber setzte das Sliver-Command-and-Control-Framework gegen ukrainische Verteidigungs- und Luft- und Raumfahrtziele ein .
• Quellcode-Diebstahl: Der Broker griff auf Quellcode-Repositorys über exponierte Versionskontrollsysteme zu, die zu verteidigungsbezogenen Projekten gehörten, und stahl diese .
• IP-Kamera-Überwachung: Der Betreiber sammelte Bilder von Tausenden von exponierten IP-Kameras und machte Screenshots von exponierten Remote-Desktop-Sitzungen (RDP) – Aufklärungsmaterial, das zur Geolokalisierung ukrainischer Militärziele nützlich ist .
• Sekundäre Ziele: Die USA, Europa und Südkorea tauchten in den Artefakten als sekundäre Geheimdienstziele auf .

CloudSEK stellt fest, dass diese Vorgehensweise eng mit der AIVD/MIVD-Beratung (niederländischer Geheimdienst) zu russischen staatlichen Kameraüberwachungen zur Lokalisierung ukrainischer Militärpositionen übereinstimmt .

Wie dieses Doppelprofil in die dokumentierte russische Praxis passt

CloudSEK bewertet mit hoher Zuversicht, dass der Betreiber ein russischsprachiger Initial Access Broker ist, dessen ukrainebezogene Aktivitäten am besten als krimineller Auftragnehmer zu erklären sind, der Zugang – einschließlich kamerabasierten Geheimdienstmaterials – an staatliche Käufer verkauft .

Dies deckt sich mit einem gut dokumentierten Muster russischer Geheimdienste: Staatlich geförderte Akteure (z. B. SVR, GRU, FSB) beziehen den ersten Netzwerkzugang regelmäßig aus dem kriminellen Ökosystem, anstatt die erste Kompromittierung selbst durchzuführen . Der kriminelle Broker erledigt die hochvolumige, laute Arbeit des Scannens und Ausnutzens von Edge-Geräten; staatliche Kunden zahlen für den bereits hergestellten Zugang zu hochwertigen Zielen (insbesondere Verteidigung, Luft- und Raumfahrt und Regierungsbehörden), ohne während des ersten Einbruchs staatlich kontrollierte Infrastruktur zu exponieren.

Derselbe Zugang, den der Broker gegen Profit an Ransomware-Gruppen für kommerzielle Ziele verkaufte, wurde auch als Überwachungspipeline gegen ukrainische Militärziele verkauft – ein Modell mit doppeltem Verwendungszweck, bei dem dieselbe technische Fähigkeit sowohl kriminelle Einnahmen als auch strategischen Geheimdienstwert für den russischen Staat generiert .