Die Hackergruppe APT28 zeigt sich erneut als eine der aggressivsten russischen Bedrohungen im Cyberspace. In einer umfassenden Kampagne, die Trend Micro-Forscher Feike Hacquebord und Hiroyuki Kakara dokumentiert haben, werden Spear-Phishing-E-Mails verwendet, um die neue Malware PRISMEX zu verbreiten. Diese Malware-Suite zeichnet sich durch ihre technische Raffinesse aus: Sie nutzt fortgeschrittene Steganografie-Techniken, um Schadcode in Bilddateien zu verstecken, manipuliert COM-Objekte im Windows-System und missbraucht legitime Cloud-Services zur Kommunikation mit den Angreifern.
Besonders bemerkenswert ist die Geschwindigkeit, mit der APT28 neu entdeckte Sicherheitslücken ausnutzt. Die Gruppe setzte die Schwachstellen CVE-2026-21509 und CVE-2026-21513 bereits ein, bevor Microsoft diese Anfang 2026 öffentlich machte. Recherchen deuten darauf hin, dass die Angreifer bereits zwei Wochen vor der offiziellen Bekanntgabe eine entsprechende Infrastruktur aufgebaut hatten. Dies weist auf umfangreiche Vorab-Kenntnisse hin — möglicherweise durch Geheimdienstinformationen oder Insider.
Die Angriffskette funktioniert in zwei Stufen: Die erste Schwachstelle zwingt das Opfersystem, eine bösartige LNK-Datei herunterzuladen, die dann die zweite Lücke ausnutzt, um Sicherheitsmechanismen zu umgehen und Code ohne Benutzerwarnung auszuführen. Am Ende dieser Angriffskette steht entweder MiniDoor, ein Outlook-Passwort-Dieb, oder die vollständige PRISMEX-Suite.
Die betroffenen Ziele sind strategisch bedeutsam: Ukraine, Polen, Rumänien, Slowenien, Türkei, Slowakei und Tschechien wurden ins Visier genommen. In den Behörden und Unternehmen dieser Länder arbeitet APT28 gezielt gegen zentrale Verwaltungsstrukturen, Verteidigungssektoren, Wetterdienste und Logistikpartner von Munitionslieferungen. In mindestens einem Fall im Oktober 2025 kombinierte APT28 Spionage mit destruktiven Wiper-Befehlen, die Nutzerdaten vollständig löschten.
CERT-UA und andere Sicherheitsforscher hatten Teile dieser Kampagne zuvor unter dem Namen Operation Neusploit dokumentiert. APT28 nutzt dabei auch COVENANT, ein Open-Source-Command-and-Control-Framework, das bereits im Juni 2025 identifiziert wurde.
Für Deutschland und andere NATO-Staaten ist diese Entwicklung ein Alarmsignal. Die strategische Ausrichtung auf Lieferketten, kritische Infrastrukturen und NATO-Logistik deutet auf eine Eskalation hin — von reiner Spionage zu destabilisierenden Angriffen.