APT28 / Fancy Bear: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

APT28 (Fancy Bear, Forest Blizzard) ist eine staatlich gesteuerte Spionagegruppe, die dem GRU zugeordnet wird und seit über einem Jahrzehnt Regierungen, Militär, Medien und zunehmend Logistik- und Rüstungszulieferer angreift – auch in Deutschland (u. a. Bundestag-Hack 2015). Das BSI warnt regelmäßig vor aktiven Kampagnen gegen deutsche Ziele.

Aktiv

Modell

Staatlicher Akteur (Spionage & Einflussnahme)

Auch bekannt als

Fancy Bear, Sofacy, Sednit, Pawn Storm, Forest Blizzard, Unit 26165

Gegründet

ca. 2004

Entstanden aus

Russischer Militärnachrichtendienst GRU

Herkunft

Russland (Militärnachrichtendienst GRU, Einheit 26165)

Zielsektoren

Regierung, Militär, Verteidigung, Parteien, Medien, Think Tanks

Zielregionen

NATO-Staaten, Ukraine, DACH, weltweit

Typisches Lösegeld

kein Lösegeld – staatliche Spionage & Einflussoperationen

Opferzahl

Zahlreiche hochkarätige Kampagnen (u. a. Deutscher Bundestag 2015, DNC 2016)

File Extensions

keine (Spionage, keine Ransomware)

Ransom Note

keine (Spionage)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als potenziell staatlich motivierte Spionage behandeln – Geschäftsführung und einen spezialisierten Incident-Response-Dienstleister einbinden.
Betroffene Systeme isolieren, aber nicht ausschalten – flüchtige Spuren und laufende C2-Verbindungen sichern.
Von langer Verweildauer und breiter lateraler Bewegung ausgehen; Zugangsdaten, Tokens und Zertifikate großflächig erneuern.
Out-of-Band kommunizieren – nicht über möglicherweise kompromittierte Kanäle.
Meldepflichten prüfen (DSGVO, NIS2); BSI und ggf. Verfassungsschutz/Polizei einbeziehen.
24/7-Incident-Response und Threat Intelligence hinzuziehen.

⛔ Unbedingt vermeiden

Nicht vorschnell „aufräumen“ oder neu aufsetzen, bevor Forensik und Umfang gesichert sind – sonst bleiben Hintertüren bestehen.
Den Angreifer nicht vorzeitig alarmieren – erst einen koordinierten Eviction-Plan erstellen.
Die Kompromittierung nicht auf einen Host reduzieren – von netzwerkweiter Präsenz ausgehen.
Interne Krisenkommunikation nicht über kompromittierbare Systeme führen.
IOCs nicht ungeprüft öffentlich teilen – mit IR/Behörden abstimmen.
Meldepflichten nicht ignorieren.

Bekannte Angriffe

Deutscher Bundestag (2015, Datenabfluss)
US-Wahlkampf / DNC (2016)
WADA, TV5Monde, OPCW

Angriffstechniken (TTPs)

Initial Access: Spearphishing, gefälschte Login-Seiten (Credential-Harvesting), Passwort-Spraying gegen Cloud/M365, Router-/Edge-Device-Kompromittierung.
- CVE-2023-23397 (Outlook NTLM-Relay, Zero-Click), Exchange-Exploits
- MITRE: T1566, T1110, T1190
Werkzeuge: X-Agent/Sofacy, Zebrocy, Drovorub-Rootkit (Linux).

Technologie & Malware

Arsenal: X-Agent, Sofacy, Zebrocy, Drovorub (Linux-Rootkit), Sednit-Framework.

Ziel: geheimdienstliche Aufklärung und Einflussnahme, nicht finanzielle Erpressung.

Indicators of Compromise (IOCs)

Ausgenutzte CVE: CVE-2023-23397 (Outlook, Zero-Click NTLM-Leak)
Tools: X-Agent, Zebrocy, Drovorub
Muster: gefälschte Login-Domänen, Passwort-Spraying

Was Unternehmen jetzt prüfen sollten

Bin ich indirektes Ziel? Zulieferer und Dienstleister sensibler Branchen sind es oft
Phishing-resistente MFA und Härtung der Mail-Infrastruktur (kein Legacy-Auth)
Patch-Stand von Mail-Servern, VPNs und Netzwerk-Geräten – bevorzugte APT28-Einstiege
Langzeit-Logging: Spionage fällt oft erst nach Monaten auf

Wie Argos unterstützt

24/7-Monitoring mit Threat Intelligence im Cyber Defense Center, Threat Hunting bei Verdacht auf langfristige Kompromittierung und forensische Aufarbeitung.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →