APT28 bei NATO-Marinewerft: zwei Monate im Netz, überwiegend mit Windows-Bordmitteln

Das Threat Hunter Team von Symantec hat am 20. Oktober 2026 eine Kampagne der Gruppe veröffentlicht, die es als Swallowtail führt. Andere Hersteller bezeichnen sie als APT28, Fancy Bear oder Forest Blizzard; die US-Regierung ordnet sie dem russischen Militärgeheimdienst GRU zu. Betroffen waren drei Organisationen in zwei NATO-Mitgliedstaaten: eine Strafverfolgungsbehörde, ein Hersteller militärischer Flugzeugtriebwerke und ein Marineschiffbauer. Namen und Länder nennt der Bericht nicht.

Für den Schiffbauer beschreibt Symantec den Ablauf über mehrere Wochen im Detail. Diese Beschreibung ist Grundlage des folgenden Beitrags.

Ablauf beim Schiffbauer

24. Juli – Erstzugriff. Ein Mitarbeiter öffnet ein Word-Dokument aus dem Outlook-Anhangscache; es kam also als E-Mail-Anhang. Das enthaltene Makro ist verschleiert: Quelltext und Zeichenketten sind in kurze Fragmente zerlegt und werden erst zur Laufzeit zusammengesetzt, um statische Prüfungen zu umgehen. Das Makro legt vier Dateien im Benutzerprofil ab: einen VBScript-Launcher, zwei HTML/XHTML-Dateien und ein Batch-Skript.

Das Batch-Skript beendet laufende Edge-Prozesse, löscht unvollständige Downloads und startet Edge neu. Das Fenster ist 1×1 Pixel groß und außerhalb des sichtbaren Bildschirms positioniert, die Zertifikatsprüfung ist abgeschaltet, als Adresse dient eine data:-URL mit Base64-kodiertem JavaScript. Dieses JavaScript lädt von webhook.site eine Datei herunter. Das Batch-Skript führt deren Inhalt als Befehlsdatei aus und schickt die Ausgabe an dieselbe webhook.site-Adresse zurück.

Recorded Future hat diese Backdoor im August 2026 als Hookedge beschrieben. Laut The Hacker News hat sie deutliche Code-Überschneidungen mit HEADLACE, das APT28 seit 2023 gegen Diplomaten einsetzt.

Wenige Minuten nach dem Öffnen des Dokuments läuft eine erste Erkundung. Sie prüft, ob Dropbox, Google, das Microsoft-Login, Mega und eine einzelne IP-Adresse erreichbar sind, liest Proxy- und WPAD-Einstellungen aus und erfasst angemeldete Sitzungen, Netzwerkkonfiguration, Systeminformationen, laufende Prozesse sowie Verzeichnisinhalte im Benutzerprofil und unter Program Files. Symantec deutet die Erreichbarkeitsprüfung als Suche nach nutzbaren Kanälen für Nachladen oder Datenabfluss.

27. Juli – zweite Stufe. Nach drei Tagen ohne Aktivität erscheint eine zweite, erweiterte Variante. Sie bezieht Befehle nicht mehr über webhook.site, sondern direkt von 185.82.218.119 auf Port 443 und sendet die Ergebnisse dorthin zurück. Innerhalb von rund 30 Sekunden gehen sieben Befehle ein, jeweils im Abstand von zwei bis acht Sekunden. Symantec wertet das als manuelle Bedienung durch einen Operator.

Die Angreifer laden einen privaten SSH-Schlüssel nach, legen ihn als C:\ProgramData\Adobe\id_rsa ab und passen die Dateiberechtigungen an. Anschließend bauen sie mit dem in Windows enthaltenen OpenSSH-Client eine Verbindung zu ihrem Server auf: Port 80, Host-Key-Prüfung abgeschaltet, Legacy-RSA erzwungen, Prozess im Hintergrund, mit Remote-Port-Forwarding. Nach Symantecs Analyse entsteht so ein dauerhafter Tunnel, über den die Angreifer von ihrem Server aus das interne Netz erreichen. Unmittelbar danach folgen DNS-Abfragen auf interne Hostnamen.

Einige Stunden später setzen die Angreifer ein zweites Verfahren ein, um an Anmeldematerial zu kommen. Ein kurzes PowerShell-Skript startet einen HTTP-Listener auf localhost:8080, beantwortet Anfragen mit einer NTLM-Challenge und veranlasst den Rechner per net use, sich an diesem Listener anzumelden. Dabei fallen NTLMv2-Challenge-Response-Paare an, die sich offline knacken oder für Relay-Angriffe auf andere Systeme nutzen lassen. Das Skript speichert bis zu vier solcher Anmeldungen. Das Verfahren entspricht dem von Werkzeugen wie Responder oder ntlmrelayx, kommt hier aber ohne separates Programm aus.

Es folgen eine weitere Hostnamen-Abfrage und eine Prüfung von Rechten und Gruppenmitgliedschaften.

28. Juli. DNS-Abfragen auf zwei weitere interne Hostnamen, einer davon dem Namen nach ein Mailserver, sowie eine Abfrage von Systeminformationen, Prozessen und installierten Updates. Einige Stunden später beenden die Angreifer den SSH-Prozess. Die Backdoor meldet sich danach weiter in Abständen von einigen Stunden beim Server.

31. Juli – Loader. Die Angreifer laden zwei Dateien nach und benennen sie in ld.exe und Events.dat um; ld.exe lag bereits seit dem Vortag auf dem System. ld.exe ist ein bisher nicht dokumentierter reflektiver Loader. Er erhält Pfad und Schlüssel einer verschlüsselten Datei als Kommandozeilenargumente, entschlüsselt sie im Speicher und ruft eine exportierte Funktion namens ExecuteLoader auf. Symantec konnte Events.dat nicht sicherstellen; was der Loader ausgeführt hat, ist daher unbekannt.

Ende August und 24. September. Loader und VBScript-Launcher befinden sich weiterhin auf dem System, der Launcher ist am 24. September zuletzt nachweisbar. Ob die geplante Aufgabe nur weiterlief oder die Angreifer erneut aktiv wurden, lässt sich aus den vorliegenden Daten nicht bestimmen.

Einordnung

Eigene Werkzeuge der Angreifer sind in diesem Fall die skriptbasierte Backdoor Hookedge und der Loader ld.exe. Alle anderen Schritte – Download, Erkundung, Tunnel, Abgreifen von Anmeldedaten – laufen über Programme, die auf aktuellen Windows-Systemen vorhanden sind: Edge, curl, ssh.exe, PowerShell, net.exe und Standard-Kommandozeilenwerkzeuge.

Für die Erkennung hat das eine praktische Folge. Signaturbasierte Prüfung erfasst bestenfalls die Dropper-Dokumente und die beiden eigenen Werkzeuge. Die übrigen Schritte sind nur über das Verhalten der beteiligten Prozesse erkennbar, also über Prozessstarts, Kommandozeilen und Netzwerkverbindungen.

Ein Detail dazu betrifft den Loader. Die Datei Events.dat ist ohne Schlüssel nicht auswertbar; ein Virenscanner oder eine Sandbox, der nur diese Datei vorliegt, kann den Inhalt nicht prüfen. Der Schlüssel steht jedoch in der Kommandozeile des Prozessstarts und ist damit in jedem Log enthalten, das Kommandozeilen erfasst. Symantec hat ihn auf diesem Weg ermittelt.

Erkennung

Die aussagekräftigsten Einzelindikatoren sind der SSH-Aufruf und der Edge-Start. Ausgehende SSH-Verbindungen mit Remote-Forwarding von einem Arbeitsplatzrechner zu einer externen Adresse sind in den meisten Umgebungen nicht vorgesehen. Die Kombination aus 1×1-Pixel-Fenster, Position außerhalb des Bildschirms und data:-URL tritt bei normaler Browsernutzung nicht auf. Beide Muster lassen sich mit wenigen Fehlalarmen als Regel umsetzen.

Voraussetzung ist in beiden Fällen, dass Prozessstarts mit vollständiger Kommandozeile protokolliert werden, entweder über Sysmon (Ereignis 1) oder über das Windows-Sicherheitsereignis 4688 mit aktivierter Kommandozeilen-Erfassung. Fehlt diese Protokollierung, ist vom beschriebenen Ablauf auf dem Endgerät kaum etwas nachvollziehbar.

Härtung

• Makros in Dateien aus dem Internet blockieren. Office blockiert seit 2022 standardmäßig Makros in Dateien mit Mark-of-the-Web; per Gruppenrichtlinie lässt sich das seit Office 2016 erzwingen. Ob diese Sperre beim Schiffbauer aktiv war, geht aus dem Bericht nicht hervor. Es lohnt sich zu prüfen, ob sie im eigenen Bestand durchgesetzt ist und welche Ausnahmen bestehen.
• OpenSSH-Client entfernen, wo er nicht benötigt wird. Er ist auf aktuellen Windows-Versionen standardmäßig installiert und lässt sich per Remove-WindowsCapability oder über die Softwareverteilung entfernen. Ausgehendes SSH an der Perimeter-Firewall nur von definierten Administrationssystemen zulassen.
• NTLM einschränken. SMB-Signing erzwingen und Extended Protection for Authentication aktivieren, um Relay-Angriffe zu erschweren; NTLM-Auditing aktivieren, um die tatsächliche NTLM-Nutzung zu kennen, und NTLM ausgehend beschränken, wo der Betrieb das zulässt. Gegen Offline-Knacken der erbeuteten Antworten helfen nur ausreichend starke Passwörter.
• webhook.site und vergleichbare Dienste sperren. Dienste zum Testen von Webhooks werden in den meisten Unternehmensnetzen nicht benötigt und lassen sich am Proxy oder per DNS-Filter blockieren.
• Attack-Surface-Reduction-Regeln für Office aktivieren, insbesondere „Office-Anwendungen am Erstellen von untergeordneten Prozessen hindern“. Diese Regel hätte den Start des Launchers aus Word heraus voraussichtlich verhindert.

Indicators of Compromise

Die folgenden Indikatoren stammen aus dem Symantec-Bericht. Sie eignen sich für die rückwirkende Suche in vorhandenen Logs. Für die Erkennung künftiger Angriffe sind die Verhaltensmuster aus dem Abschnitt Erkennung besser geeignet, da Infrastruktur und Hashes leicht ausgetauscht werden können.

Netzwerk

Dateien (SHA256)

Zusätzlich nennt Symantec 17 Hashes von Hookedge-Dropper-Dokumenten; die vollständige Liste steht im Originalbericht.

Spuren auf dem Host: C:\ProgramData\Adobe\id_rsa, C:\ProgramData\ld.exe, C:\ProgramData\Events.dat, Kommandozeilenargument DE063CF3F2E2A83E7B1A277C052A340E, Port 48097 im SSH-Aufruf, Dateien mit der Endung .000 im Download-Ordner.

Relevanz für Zulieferer und NIS2-Einrichtungen

Symantec beschreibt die drei Ziele als Organisationen, deren Informationen für einen ausländischen Nachrichtendienst von Interesse sind. Nach unserer Einschätzung gilt das auch für Zulieferer dieser Organisationen, etwa Hersteller von Komponenten, Ingenieurdienstleister oder Anbieter von Steuerungstechnik. Diese Unternehmen verfügen häufig über weniger Sicherheitspersonal und weniger Überwachung als ihre Auftraggeber. Die beschriebenen Techniken setzen keine besonderen Voraussetzungen beim Opfer voraus und sind auf solche Umgebungen unmittelbar übertragbar.

Für Einrichtungen unter NIS2 ist die Sicherheit der Lieferkette nach Artikel 21 Absatz 2 Buchstabe d ausdrücklich Teil der Risikomanagementmaßnahmen. Ein unentdeckter Zugriff bei einem Zulieferer kann Daten des Auftraggebers betreffen und, je nach Anbindung, einen Weg in dessen Netz eröffnen.

Symantec empfiehlt, einen Fund von Hookedge-Indikatoren als möglicherweise noch laufenden Vorfall zu behandeln und gezielt nach Diebstahl von Anmeldedaten und Tunnelverbindungen zu suchen, statt die Installation der Backdoor als vollständiges Schadensbild anzunehmen.