Ukraine-Krieg: Russische Hacker spähen Behörden und Einrichtungen nahe der Front aus

Besonders im Fokus stehen laut den Forschern Strafverfolgungs- und Justizbehörden, lokale Verwaltungen in Frontnähe sowie militärische Einrichtungen. Zu den beobachteten Zielen zählt außerdem ein wichtiger Umschlagplatz für ausländische Militärhilfe.

"Die Auswahl der Opfer orientiert sich auffallend stark an den strategischen Informationsinteressen Russlands im Krieg gegen die Ukraine", sagt ESET-Forscher Damien Schaeffer, der die Gruppe untersucht hat. "Die Angreifer setzen auf eine schnelle Datensammlung statt auf langfristigen Zugriff. Das könnte bedeuten, dass Gorbag nur die erste Stufe einer längeren Angriffskette darstellt."

Schnell zuschlagen, schnell verschwinden

Anders als viele bekannte Spionagegruppen versuchen die Angreifer offenbar nicht, langfristig unbemerkt in Netzwerken zu verbleiben. Stattdessen sammeln sie möglichst schnell Zugangsdaten, Dokumente und VPN-Konfigurationen und löschen anschließend ihre Spuren.

Nach Einschätzung von ESET deutet dies darauf hin, dass die Gruppe als sogenannter Initial Access Broker agiert und die erbeuteten Informationen an andere russlandnahe Akteure weitergibt.

Ziele aus Justiz, Regierung und Militärlogistik

Auffällig ist insbesondere die Auswahl der Ziele. Rund ein Viertel der identifizierten Opfer entfällt auf Justiz- und Strafverfolgungsbehörden. Diese spielen eine wichtige Rolle bei der Aufarbeitung und Dokumentation mutmaßlicher Kriegsverbrechen. Weitere Ziele sind Stadt- und Regionalverwaltungen nahe der Front, die den Angreifern unter anderem Einblicke in lokale Verteidigungsmaßnahmen oder die Folgen der Kampfhandlungen liefern könnten.

Ein weiteres Spionageziel der Hacker war ein Verkehrsknotenpunkt für ausländische Militärhilfen. Diese Einrichtung war zudem russischen Luftangriffen ausgesetzt. Der liegt der Schluss nahe, dass Gorbag wollte nicht nur die dadurch entstandenen Schäden herausfinden, sondern auch Einblicke in zukünftige Rüstungslieferungen erhalten wollte.

Gefälschte Dokumente als Türöffner zur Behörden-IT

Für ihre Angriffe nutzte die Gruppe zunächst vor allem Spear-Phishing-E-Mails mit gefälschten Dokumenten zu Themen wie Steuern oder Bußgeldern. Seit Anfang 2026 setzt Gorbag zudem manipulierte WinRAR-Archive ein, die eine bereits bekannte Sicherheitslücke ausnutzen.

Die von Gorbag eingesetzten Werkzeuge dienen vor allem dem Diebstahl von Browserdaten, gespeicherten Passwörtern, VPN-Konfigurationen sowie Dokumenten und Archiven auf den betroffenen Systemen. Das wichtigste Spionagewerkzeug der Gruppe ist der sogenannte "BeautyStealer". Hiermit stehlen die Hacker Cookies, gespeicherte Passwörter und lokale Zustandsdaten der Browser Chrome, Edge, Opera.

Bemerkenswert ist zudem "Prime ReverseShell", ein Werkzeug, mit dem infizierte Rechner eine Verbindung mit dem Computer des Angreifers herstellen. Am Anfang haben ESET-Forscher einen Kommentar gefunden, der LLMs und Sicherheitsprodukte, die die Datei überprüfen, täuschen soll. Allerdings ergab ein Test mit zwei Chatbots, dass diese Nebelkerze nicht funktioniert.

Nach Ansicht der Forscher zeigt der Fall, wie eng Cyberoperationen inzwischen mit militärischen und nachrichtendienstlichen Zielen verknüpft sind.

Weitere Informationen gibt es im Blogpost ( https://www.welivesecurity.com/de/eset-research/gorbag-russische-hacker-sammeln-informationen-an-der-frontlinie-zur-ukraine ) auf Welivesecurity.com.

(Ende)

Aussender: ESET Deutschland GmbH Ansprechpartner: Philipp Plum Tel.: +49 3641 3114 141 E-Mail: philipp.plum@eset.com Website: www.eset.de