APT29 / Cozy Bear: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

APT29 (Cozy Bear, Midnight Blizzard) wird dem russischen Auslandsgeheimdienst SVR zugeordnet und gilt als eine der technisch fähigsten Spionagegruppen. Bekannt durch den SolarWinds-Supply-Chain-Angriff und spätere Attacken auf Microsoft-Konzernkonten, zielt die Gruppe heute vor allem auf Cloud-Umgebungen, OAuth-Anwendungen und Identitäten – leise und langfristig.

Aktiv

Modell

Staatlicher Akteur (Spionage)

Auch bekannt als

Cozy Bear, Nobelium, Midnight Blizzard, The Dukes, Unit SVR

Gegründet

ca. 2008

Entstanden aus

Russischer Auslandsnachrichtendienst SVR

Herkunft

Russland (Auslandsnachrichtendienst SVR)

Zielsektoren

Regierung, Diplomatie, Think Tanks, IT-/Cloud-Dienstleister, Verteidigung

Zielregionen

NATO-Staaten, EU, DACH, weltweit

Typisches Lösegeld

kein Lösegeld – staatliche Spionage

Opferzahl

Hochwertige Spionageziele; u. a. SolarWinds-Lieferkette (18.000+ betroffene Organisationen)

File Extensions

keine (Spionage, keine Ransomware)

Ransom Note

keine (Spionage)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als potenziell staatlich motivierte Spionage behandeln – Geschäftsführung und einen spezialisierten Incident-Response-Dienstleister einbinden.
Betroffene Systeme isolieren, aber nicht ausschalten – flüchtige Spuren sichern.
Identitätsebene prüfen: OAuth-Consents, Federation/SAML, Service-Principals und Tokens erneuern – SVR zielt auf die Cloud-Identität.
Out-of-Band kommunizieren; von langer Verweildauer ausgehen.
Meldepflichten prüfen (DSGVO, NIS2); BSI und ggf. Verfassungsschutz einbeziehen.
24/7-Incident-Response und Threat Intelligence hinzuziehen.

⛔ Unbedingt vermeiden

Nicht vorschnell neu aufsetzen, bevor Forensik und Umfang – besonders auf Identitäts-/Cloud-Ebene – gesichert sind.
Den Angreifer nicht vorzeitig alarmieren – koordinierten Eviction-Plan erstellen.
Cloud-/Federation-Kompromittierung nicht ausschließen, nur weil On-Premise sauber wirkt.
Interne Krisenkommunikation nicht über kompromittierbare Systeme führen.
IOCs nicht ungeprüft öffentlich teilen.
Meldepflichten nicht ignorieren.

Bekannte Angriffe

SolarWinds-Supply-Chain (2020, 18.000+ Organisationen)
Microsoft-Konzern-E-Mails (2023/24, Midnight Blizzard)
US-Außenministerium, DNC (2015/16)

Angriffstechniken (TTPs)

Initial Access: Supply-Chain-Kompromittierung, Passwort-Spraying, gestohlene OAuth-/Cloud-Tokens, Spearphishing (auch über Microsoft Teams).
- Missbrauch von SAML/Tokens („Golden SAML“), M365/Entra-ID-Angriffe
- MITRE: T1195, T1110, T1550
Werkzeuge: SUNBURST/TEARDROP, FoggyWeb, MagicWeb; sehr disziplinierte Operationssicherheit.

Technologie & Malware

Arsenal: SUNBURST, TEARDROP, FoggyWeb, MagicWeb, WellMess/WellMail.

Stärke: Angriffe auf Identität und Cloud (Tokens, Federation) statt lauter Malware – schwer zu entdecken.

Indicators of Compromise (IOCs)

Muster: Token-/SAML-Missbrauch, OAuth-App-Consent, Passwort-Spraying
Tools: SUNBURST, FoggyWeb, MagicWeb
Historie: SolarWinds-Lieferketten-Angriff 2020

Was Unternehmen jetzt prüfen sollten

OAuth-App-Inventar in M365/Entra: Welche Apps haben weitreichende Berechtigungen?
Conditional Access und phishing-resistente MFA für alle Cloud-Konten
Monitoring auf ungewöhnliche Token-Nutzung und Mailbox-Regeln
Software-Lieferkette: Update-Quellen und Signaturen der eingesetzten Produkte

Wie Argos unterstützt

Cloud- und Identity-Monitoring im Cyber Defense Center, Threat Hunting in M365-Umgebungen und forensische Analyse bei Verdacht auf stille Kompromittierung.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →