Mobile-Menu

Phishing-Angriff auf deutsche Politiker Mitgliederdaten nach Cyberangriff auf CDU wieder zugänglich

Aktualisiert am 15.10.2024 Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
Insider Research

Nach einem massiven Hackerangriff auf die Bundes-CDU ist der Zugriff auf die Mitgliederdaten wieder möglich. Experten gehen von einem russischen Phishing-Cyberangriff auf die Partei aus. Das sind die Hintergründe.

Russische Hacker greifen die CDU an.(Bild: ANDREAS FALK)
Russische Hacker greifen die CDU an.
(Bild: ANDREAS FALK)

CDU-Politiker hatten im Frühsommer 2024 verstärkt Phishing-E-Mails erhalten. Damit konnten sich die Cyberkriminellen Zugang zur Cloud der Bundes-CDU sowie der Union Betriebs GmbH verschaffen. Die Datenbank wurde daraufhin vorsorglich abgeschaltet. CDU-Chef Friedrich Merz sprach Anfang Juni vom „schwersten Angriff auf eine IT-Infrsstruktur“, den jemals eine politische Partei in Deutschland erlebt habe. Wie die dpa berichtet, sei der Datenbestand wieder verfügbar.

Wer steckt hinter dem Hack auf die CDU?

Sicherheits-Forscher des Google-Unternehmens Mandiant russischen Akteuren zuordneten. Hinter den Angriffen steckte anscheinend die Hackergruppe mit der Bezeichnung APT29, auch bekannt als Cozy Bear, Midnight Blizzard, Nobelium oder The Dukes. Ziel des Phishing-Angriffes war die Übertragung einer neuen Variante des Backdoors WINELOADER. Diese Operation markierte das erste bekannte Interesse von APT29 an politischen Parteien, was eine signifikante Erweiterung ihres bisherigen Fokus auf diplomatische Missionen darstellt. Der Gruppe wird nachgesagt direkt von der russischen Regierung unterstützt zu werden.

CDU-Politiker erhalten gefälschtes CDU-Formular

Im Text der E-Mail wurden die Adressaten zu einem Abendessen am 1. März eingeladen. Versehen war die Nachricht mit einem CDU-Logo, um Empfänger auf eine kompromittierte Website zu locken. Die Empfänger wurden aufgefordert, eine schädliche ZIP-Datei herunterzuladen, die den Dropper ROOTSAW enthielt. Dieser lieferte ein zweites CDU-thematisiertes Köderdokument sowie eine nächste Stufe des WINELOADER-Schadcodes aus.

Diese Aktion stellt eine Neuerung im Vergleich zu den typischen Zielen von APT29 dar, die bisher hauptsächlich Regierungen, ausländische Botschaften und diplomatische Missionen umfassten. Die Verwendung deutschsprachiger Köderdokumente unterstreicht zudem die spezifische Ausrichtung dieser Operation auf inländische Ziele im Gegensatz zu früheren, auf ausländische Ziele ausgerichteten Aktionen.

Technische Durchführung und Merkmale

Das ROOTSAW-Dropper nutzt JavaScript-Obfuscation, ähnlich wie in vorherigen APT29-Operationen, und initiiert einen Download des WINELOADER-Backdoors. Die technischen Eigenschaften von WINELOADER, einschließlich der Überlappung mit Merkmalen bekannter APT29-Malware-Familien, deuten auf eine Programmierung durch gemeinsame Entwickler hin. Die adaptiven und sich entwickelnden Operationen von APT29 werden wahrscheinlich nicht auf Deutschland beschränkt bleiben. Die Angriffe zielen darauf ab, ein tieferes Verständnis der politischen Dynamiken im Westen zu erlangen, insbesondere im Hinblick auf die Ukraine und andere außenpolitische Brennpunkte.

(ID:49981691)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte