Die russische Hackergruppe APT28, auch bekannt als Fancy Bear oder Forest Blizzard, ist eng mit Russlands Geheimdienst GRU verbunden und gilt als einer der gefährlichsten Cyberakteure weltweit. Die nun aufgedeckte FrostArmada-Kampagne offenbart eine besonders tückische Angriffsmethode: Statt einzelne Computer direkt anzugreifen, manipulierten die Hacker die DNS-Einstellungen von Routern in Büros und Heimen. Dadurch umgingen sie zentrale Sicherheitsmechanismen und konnten alle Netzwerk-Geräte hinter dem Router kontrollieren.
Die technische Raffinesse liegt in der Ausnutzung von DNS-Hijacking. Nachdem APT28 Zugang zu einem Router erhielt, änderte die Gruppe die Domain-Name-System-Einstellungen so ab, dass diese auf eigene Server verwiesen. Diese Umleitung wurde dann automatisch über DHCP an alle internen Geräte weitergegeben. Als Nutzer sich in Microsoft Outlook oder anderen Diensten anmelden wollten, wurden sie auf eine gefälschte Seite weitergeleitet. Ein ungültiges Zertifikat warnte die Nutzer, doch wer diese Warnung ignorierte, gab den Angreifern direkten Zugriff auf die Authentifizierungsdaten und OAuth-Token.
Die Kampagne lief offenbar in zwei separaten Teams ab: Ein Team war für die initiale Kompromittierung der Router zuständig, das andere für die tatsächliche Authentifizierungsabfrage und Datensammlung. Dies deutet auf eine hochprofessionelle, arbeitsteilige Struktur hin. Besonders besorgniserregend: Neben Microsoft 365 wurden auch Behörden und nationale Identitätsplattformen in Europa sowie Regierungseinrichtungen in Afrika, Zentralamerika und Südostasien angegriffen.
Experten empfehlen Unternehmen nun mehrere Schutzmaßnahmen: Zertifikat-Pinning für Unternehmensgeräte, regelmäßiges Patching veralteter Hardware, und eine Minimierung der nach außen hin erreichbaren Netzwerkkomponenten. Besonders wichtig ist die Aktualisierung von MikroTik- und TP-Link-Routern sowie älteren Fortinet-Firewalls, die die Hackergruppe bevorzugt ausnutzte. Auch Nethesis-Firewall-Produkte waren betroffen. Die Sicherheitsbehörden haben umfangreiche Indikatoren zur Detektion veröffentlicht, die Administratoren zur Überprüfung ihrer Netzwerke nutzen können.