- MCTO1025, auch bekannt als UCA-0050, ist eine Cyberkriminalitätsgruppe, die von einer single ASN-Infrastruktur aus eine einjährige Kampagne gegen die Ukraine, Rumänien und Moldawien durchführte.
- Ausgeklügelte Social-Engineering-Kampagnen, bei denen sich die Täter als ukrainische und russische Sicherheitsdienste ausgeben, sowie Mitteilungen zu Evakuierungsplänen und zur militärischen Mobilmachung
- Bemerkenswerter Hackerangriff auf den moldauischen Fernsehsender TV8, der im Januar 2024 für Selbstdarstellung und Desinformationskampagnen der Gruppe genutzt wurde
- Rekrutierungskampagnen, die "einen sicheren Weg" nach Russland anbieten, dienen dazu, Geldkuriergeschäfte und die Informationsbeschaffung zu erleichtern
- Die Verbreitung von Malware konzentriert sich auf gängige Fernzugriffstrojaner wie QasarRAT, RemoteUtilities, RemcosRAT und RuRAT
- Zu den jüngsten Entwicklungen im Rahmen der Kampagne gehört der Einsatz des AnonVNC-Loaders unter Vortäuschung einer Identität des ukrainischen Sicherheitsdienstes
Threat intelligence
Sozialtechnische Angriffe mit Konfliktbezug verbreiten RATs in ganz Osteuropa
Wichtige Punkte
Kampagnenübersicht
Das Mimecast Threat Research-Team beobachtet weiterhin die seit 2023 andauernden böswilligen Aktivitäten der Gruppe MCTO1025, einer Cyberkriminalitätsgruppe, die ihre Aktivitäten konsequent gegen die Ukraine und die Nachbarländer Rumänien und Moldawien richtet. Diese Maßnahme zeugt von einem fundierten Verständnis der regionalen geopolitischen Spannungen und nutzt konfliktbezogene Themen, um bei den Zielgruppen eine hohe Bindungsrate der Betroffenen zu erzielen. Die Operationen im Rahmen von MCTO1025 umfassen vielfältige Social-Engineering-Ansätze, die darauf abzielen, die anhaltende Konfliktsituation und die damit verbundenen humanitären Probleme auszunutzen.
Zu den Themen der Kampagne gehören das Vortäuschen einer Identität als ukrainischer oder russischer Sicherheitsdienst, die Verbreitung gefälschter Evakuierungspläne im Falle von Luftangriffen, betrügerische Mitteilungen zur Mobilmachung sowie Angebote für einen sicheren Rückzug aus Konfliktgebieten.
Bemerkenswerte Wahlkampagnen im Jahr 2024
TV8 Moldawien-Hack
Anfang Januar 2024 wurde das E-Mail-Konto des moldauischen Fernsehsenders TV8 gehackt und dazu missbraucht, E-Mails mit dem Betreff „Pressemitteilung von TV8 – Пресс – Релиз от телекомпании TV8“ zu versenden, in denen ein Interview mit dem Gründer einer Gruppe angeboten wurde. Die folgende Erklärung, die aus dem Russischen übersetzt wurde, erschien auf mediacritica.md: [Die offizielle E-Mail-Adresse von TV8 war Ziel eines Cyberangriffs. Kommentar des Fernsehsenders – Mediacritica ]
In der Nacht vom 8. auf den 9. Januar wurde die offizielle E-Mail-Adresse von TV8 Opfer eines Cyberangriffs. Dem Medienbericht zufolge sandten die Angreifer im Namen des Fernsehsenders eine Nachricht an mehrere Personen und Einrichtungen, in der sie angaben, dass ein Journalist der Redaktion der Website Tv8.md den Gründer der Hackergruppe „DaVinci Group-DVG8873“ interviewt habe, die sich als „ " “ und unabhängige Cyber-Einheit gegen die Ukraine und die NATO-Staaten positioniert." In einem Kommentar für Mediacritica wies Mariana Rață, Chefredakteurin von TV8, darauf hin, dass dies nicht das erste Mal sei, dass moldauische Medien Ziel von Cyberangriffen geworden seien.
Nach Überprüfungen durch die Technikexperten von TV8 wurde der Angriff von einer IP-Adresse aus durchgeführt, die von einem Server in Amsterdam, Niederlande, verwaltet wird. "Eigentümer des Hosting-Unternehmens ist die britische Firma Aeza International LTD, die von einem kasachischen Staatsbürger – Marat Timurov – gegründet wurde. Aeza International ist einer der beliebtesten Hosting-Anbieter in Russland und wird auf mehreren Fachwebseiten als russisches Unternehmen vorgestellt. TV8 hat dieses Unternehmen kontaktiert und um Informationen über die Nutzer der IP-Adresse gebeten, von der aus der Cyberangriff durchgeführt wurde; eine Antwort haben wir jedoch bislang noch nicht erhalten, erklärte Mariana Rață v"
