Spezialisten von Kaspersky Lab haben eine Reihe von Berichten zu drei Aktivitäts-Clustern – NightEagle, Hacking Cat und Toy Ghouls – veröffentlicht, die auf russische Unternehmen abzielen. Die Gruppierungen nutzen grundlegend unterschiedliche Angriffsketten: von einer modularen Backdoor auf Microsoft-Exchange-Servern und der Ausnutzung von Schwachstellen in Active Directory über Ransomware mit Wiper-Funktionen bis hin zu unkonventionellen Command-and-Control-Kanälen über einen MQTT-Broker und den Messenger Element. Organisationen, die Exchange Server und eine Windows-basierte Infrastruktur betreiben, sollten umgehend prüfen, ob Patches für eine Reihe kritischer Schwachstellen, darunter CVE-2019-0708 und CVE-2021-26855, installiert sind; diese sind im CISA-KEV-Katalog aufgeführt.
NightEagle: VPN, Exchange und laterale Bewegung über alte Schwachstellen
Nach Angaben von Kaspersky ist die Gruppierung NightEagle (auch bekannt als APT-Q-95) mindestens seit 2023 aktiv. In den meisten untersuchten Vorfällen erhielten die Angreifer den Erstzugang über kompromittierte Zugangsdaten für das Unternehmens-VPN. Die Verbindungen erfolgten von IP-Adressen, die mit Cloudflare-WARP-Tunneln und europäischen Providern virtueller Infrastruktur in Verbindung stehen.
Auf Microsoft-Exchange-Servern setzte die Gruppierung die modulare Backdoor GhostContainer ein, die vollen Zugriff auf den Server, die Ausführung beliebigen Codes, Dateioperationen und das Nachladen zusätzlicher Module ermöglicht. Die Backdoor tarnt sich als standardmäßige Serverkomponente und kann als Mittel zur Verkehrsweiterleitung dienen. Laut Kaspersky umfasst GhostContainer Komponenten mehrerer Open-Source-Projekte: den Tunnel Neo-reGeorg, einen Exploit für CVE-2020-0688 und die Klasse GhostWebShell aus dem Tool ysoserial. Die genaue Methode zur Zustellung der Backdoor ist nicht geklärt, jedoch gehen die Forscher mit hoher Sicherheit davon aus, dass die Angreifer kryptografische Schlüssel aus der ASP.NET-Konfiguration extrahierten, den Parameter VIEWSTATE überschrieben und eine Nutzlast einschleusten, die die Backdoor im Speicher startete.
Für die laterale Bewegung nutzte NightEagle Werkzeuge zum Tunneln des Datenverkehrs über RDP – Microsoft dev tunnels und das Open-Source-Tool rdp2tcp. Bemerkenswert ist, dass der Einsatz von rdp2tcp eine Möglichkeit zur Erkennung eröffnet: Die RDP-Ereignisse 132 und 148 in den Betriebsprotokollen können den Kanalnamen „rdp2tcp“ oder zufällige alphanumerische Kanalnamen enthalten, die von den Angreifern vergeben wurden. Dies ist ein hash-unabhängiger Indikator, der sich für die proaktive Bedrohungssuche eignet.
In einem der untersuchten Vorfälle nutzte NightEagle CVE-2019-0708 (BlueKeep) aus – eine kritische Schwachstelle für Remote Code Execution in Remote Desktop Services mit einem CVSS-3.1-Score von 9.8 Critical laut NVD. Die Schwachstelle betrifft Windows 7 SP1 und Windows Server 2008/2008 R2 SP1 und ist im CISA-KEV-Katalog aufgeführt. Die Angreifer nutzten sie, um ein lokales Konto anzulegen und dieses den Gruppen Administrators und Remote Desktop Users hinzuzufügen. Darüber hinaus wurden Versuche registriert, einen Domänencontroller über einen DCSync-Angriff zu imitieren. Das Endziel ist der Diebstahl von Hashes der Kennwörter von Domänenkonten, der Erhalt langlebiger Kerberos-Tickets und die Kompromittierung der gesamten Active-Directory-Infrastruktur.
Hacking Cat: Ransomware, Wiper und strittige Attribution
Die zweite Gruppierung, Hacking Cat, wird von Kaspersky als pro-ukrainisches Hacktivisten-Kollektiv beschrieben, das seit Februar 2024 aktiv ist. Ursprünglich befasste sich die Gruppe mit Defacements und Datendiebstahl, ist nach Angaben der Forscher jedoch zu destruktiven Angriffen mit Verschlüsselung übergegangen. Kaspersky weist auf eine Zusammenarbeit von Hacking Cat mit anderen Hacktivisten-Gruppen – Cyber Anarchy Squad und Ukrainian Cyber Alliance – hin, was die Attribution konkreter Werkzeuge erschwert.
Dem Bericht zufolge nutzte die Gruppe Schwachstellen in Exchange-Servern aus, darunter CVE-2021-26855 (CVSS 3.1: 9.8 laut NVD, 9.1 laut Microsoft) und CVE-2026-42897 (im CISA-KEV-Katalog mit einem Behebungsstichtag 29. Mai 2026 aufgeführt), um den RAT-Trojaner Gorilla RAT in der Programmiersprache Go einzuschleusen. Wir haben bereits über die aktive Ausnutzung von CVE-2026-42897 berichtet.
Kaspersky bringt mit Hacking Cat zudem die Ransomware-Familie Monkey in Verbindung, die in Rust, .NET, C++ und Golang implementiert ist und Angriffe auf Windows, Linux und VMware ESXi ermöglicht. Einige Varianten speichern den Verschlüsselungsschlüssel nicht und fungieren damit faktisch als Wiper, hinterlassen aber dennoch eine Erpressernachricht. Die Forscher weisen darauf hin, dass die Golang-Variante eine Funktion zum Löschen von Schattenkopien von Volumes enthält, was unter Linux und ESXi sinnlos ist – dies könnte auf den Einsatz von KI bei der Entwicklung des Toolsets hindeuten.
Wichtiger Hinweis: Nach der Veröffentlichung des Berichts bestritt Hacking Cat die Attribution in ihrem Telegram-Kanal öffentlich und erklärte, dass „ein paar Tools von uns sind, aber die Locker definitiv nicht“, und warf Kaspersky vor, Werkzeuge völlig unabhängiger Akteure derselben Gruppe zuzuschreiben. Somit bleibt die Zuordnung der Monkey-Ransomware genau zu dieser Gruppe umstritten.
Toy Ghouls: maßgeschneiderte Backdoor mit unkonventionellen C2-Kanälen
Die dritte Gruppierung – Toy Ghouls (auch bekannt als Bearlyfy, Laboo.boo und Feral Wolf) – ist laut Kaspersky finanziell motiviert und seit 2025 aktiv. Zuvor nutzte die Gruppe geleakte Builder von Babuk und LockBit, anschließend ihre eigene Ransomware GenieLocker und ist nun zu der maßgeschneiderten Backdoor Bird Agent übergegangen, die erstmals im Juli 2026 entdeckt wurde.
Bird Agent existiert in zwei Varianten:
- mqtt-bird-agent 0.1.0 – verwendet den öffentlichen MQTT-Broker HiveMQ (broker.hivemq.com) zur Steuerung;
- matrix-bird-agent 0.1.0 – verwendet den Messenger Element auf Basis des Matrix-Protokolls mit Ende-zu-Ende-Verschlüsselung.
Die Zustellung der Backdoors erfolgt über Windows Remote Management (WinRM) mithilfe der Open-Source-Tools Evil-WinRM und WinRM-fs. Die Backdoor kann sich als Windows-Dienst im System verankern. Beim ersten Start liest sie die Konfigurationsdatei config.toml ein und verschlüsselt diese teilweise mit einem Schlüssel, der aus dem Wert MachineGuid in der Windows-Registry abgeleitet wird, wodurch die Konfiguration an eine bestimmte Maschine gebunden wird. Kann sie bei späteren Starts nicht entschlüsselt werden, stellt die Backdoor ihre Arbeit ein.
Die empfangenen Befehle führt die MQTT-Variante im versteckten Modus über PowerShell aus, während die Element-Variante die Windows-Befehlszeile verwendet. Die Ergebnisse werden zurück an den Command-and-Control-Server übermittelt. Kaspersky betont, dass der Übergang von offenen Tools zu maßgeschneiderten Lösungen auf eine zunehmende Komplexität der Angriffe und das Bestreben der Gruppe hindeutet, länger unentdeckt zu bleiben.
Vergleichsmatrix und praktische Empfehlungen
Die drei beschriebenen Cluster nutzen deutlich unterschiedliche Zugangs- und Steuerungsketten. NightEagle kombiniert VPN-Zugangsdaten, eine Exchange-Backdoor, RDP-Tunneling und die Ausnutzung von Active Directory. Hacking Cat liefert nach Angaben von Kaspersky RATs und destruktive Nutzlasten über Exchange-Schwachstellen aus. Toy Ghouls nutzt WinRM zur Verteilung von System-Backdoors mit untypischen C2-Kanälen. Das bedeutet, dass die Abwehr mehrere Angriffsflächen gleichzeitig abdecken muss.
Empfohlene Maßnahmen:
- Überprüfen, ob Patches für CVE-2019-0708, CVE-2020-0688, CVE-2021-26855 und CVE-2026-42897 installiert sind – alle vier Schwachstellen sind im CISA-KEV-Katalog aufgeführt.
- Ein Audit der VPN-Verbindungen durchführen, um Verbindungen von IP-Adressen von Cloudflare WARP und ungewöhnlichen europäischen Providern zu identifizieren.
- Die RDP-Protokolle (Ereignis-IDs 132, 148) auf unübliche Kanalnamen, einschließlich „rdp2tcp“, überprüfen.
- Ausgehende Verbindungen zu broker.hivemq.com und Domains der Form *.devtunnels.ms überwachen.
- Auf das Vorhandensein unzulässiger Windows-Dienste prüfen, die über WinRM erstellt wurden, sowie auf verdächtige config.toml-Dateien in der Nähe von ausführbaren Dateien.
- Sicherstellen, dass sich keine veralteten Systeme wie Windows 7 und Windows Server 2008 in der Infrastruktur befinden; wenn ein Außerbetriebnehmen nicht möglich ist, sollten diese Systeme vom Netzwerk isoliert werden.
Die beschriebenen Kampagnen zeigen, dass russische Organisationen mit heterogenen Bedrohungen konfrontiert sind – von APT-Gruppierungen, die auf eine langfristige Präsenz in der Infrastruktur abzielen, bis hin zu Hacktivisten mit destruktiven Zielen. Vorrangige Maßnahmen sind das Schließen der vier genannten Schwachstellen aus dem CISA-KEV-Katalog und die Überwachung unkonventioneller Steuerungskanäle (MQTT, Matrix/Element, dev tunnels), die zunehmend eingesetzt werden, um herkömmliche Erkennungssysteme zu umgehen.
