Cyberkrieg im Bezug zum Russland-Ukraine-Krieg

mini|Defacement einer Webseite des ukrainischen Außenministeriums durch einen Hackerangriff Die Eskalation des Russland-Ukraine-Krieges im Überfall auf die Ukraine wird von einem Cyberkrieg begleitet.

Laut der ukrainischen Behörde für Spezielle Kommunikation und Informationsschutz wurde die Ukraine im Jahr 2022 Ziel von 2194 Cyber-Angriffen, davon allein 1655 nach Beginn der russischen Invasion am 24. Februar. Einrichtungen der Regierung seien in jenem Jahr knapp 560 Mal von Hackern attackiert worden. Russische Cyberangriffe auf NATO-Staaten haben sich nach Angaben von Google im Jahr 2022 im Vergleich zu 2020 vervierfacht.Deutschlandfunk am 16. Februar 2023: . Abruf: 18. Februar 2022.

Hintergrund Zum Zeitpunkt des Überfalls waren die Spannungen zwischen Russland und der Ukraine hoch, da seit April 2021 über 100.000 russische Soldaten in der Nähe der ukrainischen Grenze stationiert wurden und Russland der NATO in den Monaten vor dem Krieg Ultimaten stellte. Lange vor der Invasion im Februar hatten Wellen von Cyberattacken gegen die Ukraine begonnen, welche im zweiten Halbjahr 2021, während Russland die Invasion plante, deutlich verstärkt wurden. Die ukrainische Abwehr wurde maßgeblich von britischen Stellen unterstützt. US-Militärs hatten den Ukrainern vor Ort geholfen, Hacker zu jagen, diese Spezialisten wurden jedoch bei Kriegsausbruch aus der Ukraine abgezogen.Тайное становится явным: как Британия помогает Киеву отражать российские кибератаки, BBC Russian Service, 1. November 2022

Die US-Regierung erklärte im Januar 2022 öffentlich, dass Russland offensichtlich eine Invasion in der Ukraine vorbereite sowie „Sabotage- und Informationsaktivitäten“ betreibe. Die USA fanden angeblich auch Beweise für eine „Operation unter falscher Flagge“ in der Ostukraine, die als Vorwand für eine Invasion dienen könnte. Russland bestritt die Vorwürfe einer bevorstehenden Invasion, drohte aber mit sogenannten „militärisch-technischen Maßnahmen“, falls seine Forderungen nicht erfüllt würden, insbesondere die Forderung, dass die NATO die Ukraine niemals in das Bündnis aufnehmen dürfe. Russland hatte sich nachdrücklich gegen eine weitere Ausweitung der NATO nach Osten ausgesprochen und begründete damit die Zunahme der Spannungen an der russisch-ukrainischen Grenze.

Januar 2022 Chronik im Januar Der russischen Invasion gingen lange vorbereitete, massive Cyberangriffe auf die Ukraine voraus. Der erste Angriff auf ukrainische Organisationen erfolgte nach Angaben des slowakischen Unternehmens für Sicherheitssoftware ESET in der Nacht zwischen dem 13. und 14. Januar. Am 14. Januar 2022 wurden mehr als ein Dutzend Websites der ukrainischen Regierung durch eine Cyberattacke lahmgelegt. Nach Angaben ukrainischer Behörden wurden rund 70 Regierungswebsites angegriffen, darunter das Außenministerium, das Ministerkabinett und der Sicherheits- und Verteidigungsrat. Die meisten Websites wurden innerhalb weniger Stunden nach dem Angriff wiederhergestellt. Am 15. Februar wurden durch eine weitere Cyberattacke mehrere Regierungs- und Bankdienste lahmgelegt. Der Schadcode hatte sich als Ransomware getarnt, die Daten wurden jedoch durch die Software unwiederbringlich gelöscht, es handelte sich daher um einen Wiper. Am 23. Februar, wenige Stunden vor der Invasion, schlug ein weiterer, schon Monate zuvor eingeschleuster Wiper zu.Marcel Kolvenbach: Putins Cyber-Krieg. tagesschau.de, 18. März 2022, abgerufen am 18. März 2022.

Bei den Angriffen am 14. Januar 2022 ersetzten Hacker die Websites von etwa 70 Regierungswebseiten durch Texte in Ukrainisch, fehlerhaftem Polnisch und Russisch, in denen es heißt: „Habt Angst und erwartet das Schlimmste“ und in denen behauptet wurde, dass persönliche Informationen ins Internet gelangt seien. Der Sicherheitsdienst der Ukraine (SBU) erklärte hierzu, dass keine Daten durchgesickert seien. Kurz nach Erscheinen der Nachricht wurden die Websites vom Netz genommen. Die meisten Seiten wurden innerhalb weniger Stunden wiederhergestellt. Der stellvertretende Sekretär des NSDC, Serhij Demedjuk, erklärte, dass die ukrainische Untersuchung des Angriffs den Verdacht nahelegt, dass die Administrationsrechte eines Drittunternehmens zur Durchführung des Angriffs genutzt wurden. Die Software des ungenannten Unternehmens wurde seit 2016 für die Entwicklung von Regierungsseiten verwendet, von denen die meisten von dem Angriff betroffen waren. Demedjuk machte auch UNC1151, eine Hackergruppe mit angeblichen Verbindungen zum belarussischen Geheimdienst, für den Angriff verantwortlich.

Ein weiterer zerstörerischer Malware-Angriff fand etwa zur gleichen Zeit statt und tauchte erstmals am 13. Januar auf. Die Malware, zunächst entdeckt vom Microsoft Threat Intelligence Center (MSTIC), wurde auf Geräten installiert, die „mehreren Regierungs-, gemeinnützigen und Informationstechnologie-Organisationen“ in der Ukraine gehören. Später wurde berichtet, dass dies auch den staatlichen Notdienst und das Kraftfahrtversicherungsbüro einschließt. Die Software mit der Bezeichnung DEV-0586 oder WhisperGate wurde so entwickelt, dass sie wie Ransomware aussieht, aber keine Wiederherstellungsfunktion hat, was darauf hindeutet, dass sie Dateien einfach zerstören will (Eraser oder Wiper), anstatt sie gegen Lösegeld zu verschlüsseln. Der MSTIC berichtete, dass die Malware so programmiert war, dass sie ausgeführt wurde, wenn das betroffene Gerät ausgeschaltet war. Die Malware überschreibt den Master Boot Record (MBR) mit einer generischen Lösegeldforderung. Als Nächstes lädt die Malware eine zweite EXE-Datei herunter, die alle Dateien mit bestimmten Erweiterungen aus einer vorgegebenen Liste überschreibt und alle Daten in den betroffenen Dateien löscht. Die Nutzlast der Ransomware unterscheidet sich in mehrfacher Hinsicht von einem Standard-Ransomware-Angriff und deutet auf eine ausschließlich zerstörerische Absicht hin.

Am 19. Januar versuchte die russische Advanced Persistent Threat (APT) Gruppe „Gamaredon“ (auch bekannt als „Primitive Bear“), eine westliche Regierungseinrichtung in der Ukraine zu infiltrieren. Cyberspionage scheint das Hauptziel der Gruppe zu sein, die seit 2013 aktiv ist, insbesondere auf ukrainische Organisationen zielt und dabei anscheinend Dienste für andere APT-Gruppen anbietet. So hat beispielsweise die Hackergruppe „InvisiMole“ ausgewählte Systeme angegriffen, die zuvor von „Gamaredon“ betroffen und mit digitalen Fingerabdrücken versehen worden waren.

Als Reaktion auf die Invasion erklärte das Hackerkollektiv Anonymous noch am ersten Kriegstag, in einen Cyberkrieg mit der Regierung der Russischen Föderation getreten zu sein.

Reaktionen auf die Angriffe im Januar Russland Russland wies die Behauptungen der Ukraine zurück, dass es mit den Cyberangriffen in Verbindung stehe.

Ukraine Ukrainische Regierungsinstitutionen wie das Zentrum für strategische Kommunikation und Informationssicherheit und das Außenministerium vermuteten Russland als Urheber des Anschlags und wiesen darauf hin, dass dies nicht das erste Mal sei, dass Russland die Ukraine angreife.

Internationale Organisationen Der Hohe Vertreter der Europäischen Union, Josep Borrell, sagte über die Quelle des Angriffs: „Man kann sich […] sehr gut vorstellen, woher der Angriff kommt.“ Der Generalsekretär der NATO Jens Stoltenberg kündigte an, dass die Organisation ihre Koordinierung mit der Ukraine in Bezug auf Cyberverteidigung angesichts möglicher weiterer Cyberangriffe verstärken werde. Später kündigte die NATO an, dass sie ein Abkommen unterzeichnen werde, das der Ukraine Zugang zu ihrer Malware Information Sharing Platform gewähre.

Februar 2022 Am 15. Februar brachte eine groß angelegte Denial-of-Service-Attacke (DDoS) die Websites des Verteidigungsministeriums, der Armee und der beiden größten Banken der Ukraine, der PrivatBank und der Oschadbank, zum Absturz. Das Cybersecurity-Monitoring-Unternehmen NetBlocks berichtete, dass sich der Angriff im Laufe des Tages intensivierte und auch die Mobile Apps und Geldautomaten der Banken betroffen waren. Die New York Times bezeichnete ihn als „den größten Angriff dieser Art in der Geschichte des Landes“. Ukrainische Regierungsvertreter erklärten, dass der Angriff wahrscheinlich von einer ausländischen Regierung ausgeführt wurde, und vermuteten, dass Russland dahinter stecke. Obwohl es Befürchtungen gab, dass die Denial-of-Service-Attacke eine Tarnung für ernstere Angriffe sein könnte, wurde zunächst kein solcher Angriff entdeckt.

Laut der britischen Regierung und dem Nationalen Sicherheitsrat der USA kam der Angriff vom russischen Militärgeheimdienst (GRU). Die amerikanische Cybersicherheitsbeauftragte Anne Neuberger erklärte, es sei festgestellt worden, dass bekannte GRU-Infrastrukturen große Mengen an Kommunikation an in der Ukraine ansässige IP-Adressen und Domänen übermittelten. Kreml-Sprecher Dmitri Peskow bestritt, dass der Angriff von Russland ausging.

Am 23. Februar legte ein dritter DDoS-Angriff mehrere ukrainische Regierungs-, Militär- und Bank-Websites lahm. Die ukrainische Behörde SSSCIP (State Service of Special Communication and Information Protection) meldete am 23. Februar massive DDoS-Attacken auf Regierungsinstitutionen und Banken.Another cyberattack on government websites and banks. State Service of Special Communication and Information Protection of Ukraine, 23. Februar 2022, abgerufen am 28. März 2022. Während die Websites des Militärs und der Banken bald wiederhergestellt wurden, war die Website des Sicherheitsdienstes der Ukraine SBU für längere Zeit offline. Kurz vor 17 Uhr wurde auf Hunderten von Computern mehrerer ukrainischer Organisationen, unter anderem aus den Bereichen Finanzen, Verteidigung, Luftfahrt und IT-Dienstleistungen, datenlöschende Malware entdeckt. ESET Research nannte die Malware HermeticWiper, benannt nach ihrem echten Digitalen Zertifikat des in Zypern ansässigen Unternehmens Hermetica Digital Ltd. Der Wiper wurde Berichten zufolge am 28. Dezember 2021 kompiliert, während Symantec bereits im November 2021 bösartige Aktivitäten meldete, was bedeutet, dass der Angriff Monate im Voraus geplant wurde. Symantec meldete auch Wiper-Angriffe auf Geräte in Litauen, und dass einige Unternehmen bereits Monate vor dem Wiper-Angriff kompromittiert wurden. Ähnlich wie bei dem WhisperGate-Angriff im Januar wird Ransomware oft gleichzeitig mit dem Wiper-Angriff als Täuschung eingesetzt, und der Wiper-Angriff beschädigt den Master Boot Record.

Einen Tag vor dem Angriff hatte die EU ein Krisenreaktionsteam eingesetzt, das aus etwa zehn Cybersicherheitsexperten aus Litauen, Kroatien, Polen, Estland, Rumänien und den Niederlanden bestand. Es ist nicht bekannt, ob dieses Team dazu beigetragen hat, die Auswirkungen des Cyberangriffs abzumildern.

Der Angriff fiel mit der russischen Anerkennung der Separatistengebiete in der Ostukraine und der Genehmigung der russischen Truppenstationierung dort zusammen. Die USA und das Vereinigte Königreich machten Russland für den Angriff verantwortlich. Russland wies die Anschuldigungen zurück und bezeichnete sie als „russophob“.

Etwa zur Zeit des Beginns der Invasion am Morgen des 24. Februars erfolgte ein Cyberangriff auf den Satellitennetz-Provider Viasat, indem ein fehlerhaftes Update im Raum Mittel-/Osteuropa hochgeladen wurde, wodurch KA-SAT-Kunden (darunter auch die ukrainischen Streitkräfte) ihre Netzzugänge verloren. „Große Mengen an fokussiertem, bösartigen Datenverkehr“ gingen von infizierten Spezialmodems aus und überlasteten das System, Zehntausende Modems verloren den Kontakt zum Netz. Der Angriff betraf in Deutschland Enercon, 5800 seiner Anlagen waren nicht mehr online erreichbar. Die Analysten des IT-Sicherheitsunternehmens SentinelOne fielen Ähnlichkeiten zu den digitalen Werkzeugen der Hackergruppen Sandworm und Fancy Bear auf, die Russlands militärischem Auslandsgeheimdienst GRU zugeordnet werden. Viasat verschickte 30.000 neue Modems an Kunden, deren alte Geräte ausgefallen waren.;