Sofacy Group

Die Sofacy Group ist nach Einschätzung westlicher Geheimdienste eine als Hackerkollektiv auftretende Einheit des russischen Militärgeheimdienstes GRU mit der Bezeichnung 26165, die darauf spezialisiert ist, prominente Ziele anzugreifen und vertrauliche Informationen zu stehlen. Die Gruppe ist seit etwa 2004 aktiv. Daher nennt man die Gruppen auch Einheit 26165.

Angriffe auf Computer der Demokraten im Zusammenhang mit der Präsidentschaftswahl in den Vereinigten Staaten 2016 ordneten die US-Geheimdienste NSA und Homeland Security unter anderem dieser Gruppe zu und machten die Regierung der Russischen Föderation dafür verantwortlich (siehe die russische Einflussnahme auf den US-Wahlkampf 2016). Niederländische Behörden identifizierten vier russische Agenten als Mitglieder der Gruppe. Die Männer besaßen Diplomatenausweise und hatten 2018 in Den Haag einen Hackerangriff auf jene Einrichtung der Organisation für das Verbot chemischer Waffen (OPCW) durchgeführt, die Kampfstoffproben vom Anschlag auf Sergei Skripal und einem Giftgasangriff im syrischen Duma analysierte.

Für die Sofacy Group kursieren zahlreiche Bezeichnungen, beispielsweise wegen nachträglicher Zurechnungen von Attacken. Beispiele sind Advanced Persistent Threat 28 (APT28), Fancy Bear, Pawn Storm, Strontium, Sednit bzw. Sednit Gang und Tsar Team.

Hintergrund

Die überwiegende Mehrheit der IT-Sicherheitsexperten und westliche Geheimdienste gingen seit längerem davon aus, dass die Sofacy Group dem russischen Militärgeheimdienst zuzuordnen ist. Der Umfang der Angriffe, die zur Verfügung stehenden Ressourcen und vor allem die Ziele deuteten auf ein politisches Interesse im Sinne der russischen Regierungen hin. Unabhängige Sicherheitsexperten wiesen 2016 darauf hin, dass zwar einiges für die Zugehörigkeit der Gruppe zu russischen Geheimdiensten spreche, dies aber nicht ausreichend belegt sei. Erst 2018, nachdem mehrere Agenten enttarnt wurden, ordneten offizielle Stellen aus den USA, Großbritannien und den Niederlanden die Gruppe als Teil des GRU ein.

Die Abkürzung „APT 28“ geht auf den Report der Sicherheitsfirma FireEye von Oktober 2014 zurück, der den Titel „APT28 – A Window Into Russia’s Cyber Espionage Operations?“ trug.

Angriffe (Auswahl)

Laut FireEye griff die Gruppe auch europäische Rüstungsmessen an. Dazu gehörten die EuroNaval 2014, die EUROSATORY 2014 und die Counter Terror Expo sowie die Farnborough Airshow 2014. FireEye erklärte aber, in seinem Report zu APT28 nur Angriffsziele der Gruppe erwähnt zu haben, die auf eine Nähe zu Regierungsstellen schließen lassen, und andere Angriffe nicht berücksichtigt zu haben. Nach Berichten von PricewaterhouseCoopers und Bitdefender waren aber auch Webprovider sowie Telekommunikations- und Energieunternehmen unter den Angriffsobjekten.

2015 wurde nach Hinweisen einer englischen Firma auf zwei Rechnern der Linken im Bundestag Malware gefunden. Eine investigative technische Analyse des IT-Sicherheitsforschers Claudio Guarnieri kam zu dem Ergebnis, dass wahrscheinlich Sofacy hinter der Schadsoftware auf Fraktionsrechnern stecke. Guarnieri schreibt, dass die Zuordnung von Malware-Angriffen niemals leicht sei, aber er im Laufe der Untersuchung Hinweise darauf gefunden habe, dass der Angreifer mit der Sofacy Group zusammenhängen könnte.

Im Frühjahr 2015 kaperte mutmaßlich Sofacy insgesamt 14 Server des Deutschen Bundestages und erbeutete Daten im Volumen von 16 Gigabyte (Cyberattacke auf den Bundestag). Die Gruppe wurde im Januar 2016 erstmals öffentlich mit dem GRU in Verbindung gebracht, als anonyme Quellen aus dem Umfeld der Bundesregierung den GRU für den Angriff auf den Bundestag verantwortlich machten.

Im Februar 2015 verschickte APT28 im Namen der Hackergruppe „CyberCaliphate“ des Islamischen Staates (IS) Drohnachrichten an Familien amerikanischer Soldaten. Die Nachrichten lösten großes Medieninteresse und eine öffentliche Debatte über die Reichweite des IS im Internet aus. Die verdeckte Operation der russischen Hacker hatte das mutmaßliche Ziel, in der amerikanischen Gesellschaft ein Gefühl der Bedrohung durch islamistischen Terrorismus zu verstärken. Kontakte zwischen „CyberCaliphate“ und APT28 wurden zuvor dokumentiert und die beiden Gruppen gelten als eng miteinander verbunden. Im April 2015 wurde der französische Sender TV5 Monde Opfer eines Hackerangriffs, bei dem das „CyberCaliphate“-Logo auf der Website des Senders eingeblendet war. Im Sommer des Jahres deckten französische Ermittler von der Agence nationale de la sécurité des systèmes d’information schließlich auf, dass der Hackerangriff keinen islamistischen Hintergrund hatte, sondern von Moskau ausging.

2016 gelang es dem Hacker Guccifer 2.0, in Computersysteme der Demokratischen Partei einzudringen und Daten des bevorstehenden US-Präsidentschaftswahlkampfes 2016 in seinen Besitz zu bringen. Aus diesem Datensatz wurden mehrere Male Informationen der Enthüllungsplattform Wikileaks zugespielt. Hinter den Angriffen stand nach der Meinung von Sicherheitsfirmen eine Hackergruppe, die von verschiedenen Sicherheitsexperten verschiedene Namen, darunter auch Sofacy, erhielt. Die Sicherheitsfirmen gingen von einem aus Russland gesteuerten Angriff aus, diese Einschätzung machten sich das US-Heimatschutzministerium und der Director of National Intelligence – der dem Zusammenschluss aller US-Nachrichtendienste vorsteht – zu eigen und beschuldigten die Spitzen der russischen Regierung, für die Angriffe verantwortlich zu sein. Russland wies die Vorwürfe zurück. Auch Julian Assange wies in einer Stellungnahme die „an Senator McCarthy erinnernden“ Vorwürfe einer Zusammenarbeit mit Russland zurück. Wikileaks habe die Informationen veröffentlicht, weil sie für die Meinungsbildung in den USA wichtig gewesen seien und sei dabei durch das First Amendment gedeckt. Vergleichbare Informationen über Interna anderer Präsidentschaftskandidaten habe Wikileaks nicht gehabt. Ob Guccifer 2.0 aber tatsächlich vom russischen Geheimdienst gegen die demokratische Partei der USA eingesetzt wurde oder ob eine unbekannte Gruppe oder Person charakteristische Teile der bekannten Programmierung für den Angriff benutzt hat, lässt sich nach Einschätzung von Beobachtern bislang nicht zweifelsfrei beweisen.

Die Fancybearsoftware, die beim Angriff auf die Demokratische Partei benutzt wurde, wurde nach Angaben der Firma Crowdstrike in abgewandelter Form auf mobilen Geräten mit Android-System gefunden, die von der Ukrainischen Armee im Krieg in der Ukraine seit 2014 benutzt wurden. Um die Geräte zu infizieren, boten die Angreifer in Internetforen auf Ukrainisch eine App an, die die Feuerleitung ukrainischer Artillerie erleichtern sollte (schnellere Berechnung der Zieldaten). Diese manipulierte Version des ukrainischen Originalprogramms gab zwar vor, authentisch zu funktionieren, brachte aber keinerlei militärische Vorteile und erlaubte es den Hackern, die Standortdaten und Kommunikation der entsprechenden Benutzer auszulesen, womit diese unwissentlich die Stellungen der ukrainischen Artillerie verrieten.

2018 wurden vier russische Agenten vom niederländischen Militaire Inlichtingen- en Veiligheidsdienst beim Versuch enttarnt, in das Wi-Fi-Netzwerk des OPCW einzudringen. Sie hatten dazu ein Fahrzeug auf einem benachbarten Parkplatz in den Haag abgestellt, in dessen Kofferraum eine Wifi-Antenne und ein Laptop versteckt waren, mit denen versucht wurde, sich Zugang zum Netzwerk des OPCW zu verschaffen. Die vier russischen Agenten, zwei Softwarespezialisten und zwei Unterstützungsagenten, hatten Diplomatenpässe, so dass die Niederländer sie nicht festnehmen, sondern lediglich ausweisen konnten. Die Ausrüstung wurde beschlagnahmt. Nach Auswertung der Daten gaben die Behörden im Oktober 2018 bekannt, dass der Laptop zuvor in Malaysia, der Schweiz und Brasilien eingesetzt worden war. Vertreter der Russischen Föderation wiesen die Vorwürfe zurück. Dieser Angriff wird mit der Vergiftung von Sergei Skripal und seiner Tochter in Verbindung gebracht.

Nachdem deutsche Sicherheitsbehörden einen im Januar 2023 erfolgten Hackerangriff auf die SPD-Parteizentrale dem russischen Militärgeheimdienstes der ATP28 zugeordnet hatten, bestellte das Auswärtige Amt im Mai 2024 einen russischen Botschaftsvertreter ein.

Im August 2024 wurde die Deutsche Flugsicherung nach eigenen Angaben Ziel von APT28. Im Folgemonat wurde berichtet, dass APT28 eine Fake-Website aufstellte und versuchte, diese als die Website des IfW-Kiel darzustellen.

Angriffszeitraum	Betroffene	Art des Angriffs	Wirkung / Hintergrund	Zuordnende Person / Einrichtung
2008	Mehrere Ministerien Georgiens		Kaukasuskrieg, russische Streitkräfte waren am 8. August 2008 auf georgisches Territorium vorgerückt	u. a. netzpolitik.org
2009	Kavkaz Center		Dschihadistsiches Zentrum in Tschetschenien	FireEye
2014	Verteidigungsministerien der Länder Bulgarien, Polen, Ungarn und Albanien.	Systematische Infiltrierung	Datenabfluss	Die Zeit
2015–2016	Dänisches Verteidigungsministerium und Dänisches Außenministerium	Hack von E-Mail-Kommunikation und Servern	angeblich keine klassifizierten Informationen abgeflossen	Zentrum für Cybersicherheit des Dänischen Parlaments
2015	Deutscher Bundestag	Angriff und Hack von Abgeordneten-Rechnern	Datenabfluss von E-Mail-Kommunikation und Dokumenten in unbekanntem Umfang, Angriff u. a. auf Mitglieder des Parlamentarisches Kontrollgremium für die Geheimdienste und MdBs mit Russlandbezug	Bundesverfassungsschutz
2016	Ukrainische Streitkräfte im Einsatz	Fake-App Попр-Д30.apk	Der ukrainische Artillerieoffizier Yaroslav Sherstuk entwickelte für ukrainische Soldaten eine App, um die Zielerfassung für die weit verbreitete sowjetische D-30 Haubitze im Ukrainekonflikt zu beschleunigen. Die Sofacy Group entwickelte und lancierte eine nachgebaute App, die Zieldaten und Position des Geschützes an die russische Seite abfließen lässt.	Crowd Strike Security Group
2016	Welt-Anti-Doping-Agentur	Hack
2016	Democratic National Convention Demokratische Partei der USA	Russische Hackerangriffe	Durch einen Hack der Kommunikationsinfrastruktur der Demokratischen Partei und lancierte Falschmeldungen kam es zu einer Störung des Präsidentschaftswahlkampfes in den USA 2016. Ende 2016 teilte die Nachrichtendienstgemeinschaft der Vereinigten Staaten mit, Russland habe eine Operation mit dem Grizzly Steppe durchgeführt.	FBI u. a.
2017	Datennetz der Bundesverwaltung – Informationsverbund Berlin-Bonn	Schadsoftware	Noch nicht abzusehen	Bund
2018	Wi-Fi-Netz der Organisation für das Verbot chemischer Waffen	Schadsoftware	GRU-Einheit wurde festgenommen und ausgewiesen	OPCW, GRU, MVID

Methoden

Sofacy ist dafür bekannt, häufig Phishing-Angriffe zu nutzen. Dies bringt die Angegriffenen dazu, ihre Anmeldedaten in einen realistisch aussehenden Nachbau interner Systeme wie Webmailer einzugeben. Diese Technik wurde beispielsweise in den bekannten Attacken gegen das georgische Innenministerium eingesetzt, die den Kämpfen in Georgien im Kaukasuskrieg 2008 vorausgingen.

Das Bundesministerium für digitale Infrastruktur warnte im März 2016 vor zahlreichen Internetadressen, die zur Verbreitung von Schadsoftware der Sofacy Group eingerichtet worden seien.

Gegenmaßnahmen

Im Frühjahr 2024 wurde berichtet, dass es Sicherheitsbehörden in Deutschland und den USA gelang, ein globales Spionagenetz von APT28 auszuschalten.

Siehe auch

• Cyberkrieg