Die Cyberespionage-Kampagne “FrostArmada” offenbart eine neue Dimension der Bedrohung durch staatlich unterstützte Hackergruppen. APT28, auch unter dem Namen “Forest Blizzard” bekannt, nutzte Sicherheitslücken in weit verbreiteten Router-Modellen, um eine passive Überwachungsinfrastruktur aufzubauen, die es dem russischen Geheimdienst ermöglichte, gezielt Regierungsstellen und Unternehmen auszuspionieren.
Die technische Herangehensweise der Angreifer ist bemerkenswert subtil. Nach dem Zugriff auf die Router änderten sie die DNS-Konfiguration, sodass Anfragen zu gefälschten DNS-Servern unter ihrer Kontrolle weitergeleitet wurden. Wenn Nutzer dann versuchten, sich bei Diensten wie Microsoft Outlook anzumelden, wurden sie auf manipulierte Websites dirigiert. Dort konnten die Angreifer ihre Anmeldedaten abfangen — ein klassischer Attacker-in-the-Middle-Angriff (AitM).
Besonders brisant ist, dass APT28 für die Kompromittierung von TP-Link WR841N Routern wahrscheinlich die Schwachstelle CVE-2023-50224 ausnutzte, ein Authentication-Bypass mit CVSS-Score 6.5. Dies zeigt, dass die Gruppe gezielt nach bekannten, aber vielfach ungepatchten Sicherheitslücken sucht.
Die Ausdehnung der Kampagne unterstreicht die Effektivität dieser Methode. Im August 2025 eskalierte die Aktivität, und im Dezember war der Höhepunkt erreicht. Mehr als 200 Organisationen und 5.000 private Endgeräte waren betroffen. Besonders beunruhigend: Microsoft beobachtete AitM-Aktivitäten gegen mindestens drei afrikanische Regierungsorganisationen, doch auch europäische Länder waren im Fadenkreuz.
Das Modus Operandi verdeutlicht Microsofts Einschätzung: APT28 sucht bewusst nach “weniger überwachten oder verwalteten” Geräten, um in größere Unternehmensumgebungen einzudringen. Ein Router ist oft das schwächste Glied in der Sicherheitskette.
Die Infrastruktur wurde mittlerweile durch eine internationale Kooperationsoperation unter Beteiligung des US-amerikanischen Department of Justice und FBI zerschlagen. Dennoch zeigt die Kampagne ein Muster: Während APT28 hier nur Daten sammelten, könnten solche Positionen auch für Malware-Verbreitung oder Denial-of-Service-Attacken missbraucht werden. Das Risiko bleibt bestehen, solange ungesicherte Router in Betrieb sind.