Cozy Bear

Cozy Bear oder APT29 ist eine russische Gruppe von Crackern bzw. Hackern, die im Auftrag der russischen Regierung operiert. Alternative Namen sind CozyCar, CozyDuke, Dark Halo, The Dukes, NOBELIUM, Office Monkeys, StellarParticle, UNC2452, YTTRIUM und Midnight Blizzard. Gesteuert wird die Gruppe laut übereinstimmenden Experteneinschätzungen vom russischen Auslandsnachrichtendienst SWR. In älteren Veröffentlichungen wurde Cozy Bear eher dem FSB zugerechnet.

Spektakulärste Aktion bislang war die Russische Einflussnahme auf den Wahlkampf in den Vereinigten Staaten 2016 zugunsten von Donald Trump.

Tätigkeiten

Cozy Bear ist seit mindestens 2008 aktiv. Den Crackern werden eine Reihe von Cyber-Attacken zugeschrieben.

MiniDuke

Aus den Vulkan Files und Recherchen der Threat Analysis Group (TAG) von Google ergibt sich, dass die Gruppe bereits im Jahr 2012 in eine Malware-Kampagne russischer Hacker involviert gewesen sein soll, unter Verwendung von Schadprogrammen der NTC Vulkan. Das Kaspersky Lab entdeckte am 27. Februar 2013 in 20 Ländern auf den Rechnern von Europäischen Regierungsorganisationen und Firmen den Computervirus „MiniDuke“. Die Verbindung von Software-Schmiede und Hackergruppe wurde Ende 2012 von Google entdeckt: Eine E-Mail-Adresse, die man später MiniDuke zuschreiben konnte, sandte eine Testnachricht an NTC-Vulkan. Mit solchen Testnachrichten werden Schadprogramme auf ihre Tauglichkeit getestet. Mit der Malware wurden die Rechner von zahlreichen westlichen Diplomaten, Beamten und Militärangehörigen infiziert.

Mutmaßlich mit derselben Schadsoftware wurden im Jahr 2013 Attacken auf Europäische Außenministerien gestartet. Diese subversiven Angriffe wurden – unter dem Namen Operation Ghost – der Gruppe angelastet, sie erhielt in Folge auch den alternativen Namen The Dukes. Seit dem Jahr 2016 soll die Gruppe die Duke-Malware weiter entwickelt und neue hochkarätige Ziele kompromittiert haben. Die Malware-Tools PolyglotDuke, RegDuke and FatDuke waren schwerer aufzuspüren und sollen ab Mitte 2019 zum Einsatz gekommen sein. Das Unternehmen für Sicherheitssoftware ESET erstellte eine Timeline.

Weitere Hackerangriffe

Der Crack auf das Democratic National Committee (DNC) im Jahr 2016 soll gemeinsam von den Hackergruppen APT28 und Cozy Bear (APT29) durchgeführt worden sein. Eine Malware names WellMess griff im Jahr 2018 japanische Firmen an. Nach anfänglichem Unwissen über die Identität des Angreifers konnte sie im Jahr 2020 der APT29 zugeschrieben werden, nachdem kanadische, US-amerikanische und britische Stellen Attacken auf pharmazeutische Ziele im Zuge der Covid-19-Pandemie feststellten. Eine weitere Attacke der Gruppe richtete sich gegen SolarWinds. 2021 war Cozy Bear zudem erfolgreich in das Netz der Dänischen Nationalbank eingedrungen. Die Gruppe blieb über sechs Monate in der Bank unentdeckt.

Im Jahr 2014 gelangte es Zeitungsberichten zufolge dem niederländischen Geheimdienst AIVD, bei der Gruppe Cozy Bear einzudringen. Der AIVD konnte damit die Aktivitäten verfolgen, welche die russische Einheit durchführte, und zudem auch die Sicherheitskameras der Einheit abschöpfen und so herausfinden, welche Personen hinter der Gruppe stecken. Auch konnte der Geheimdienst mitverfolgen, wie die Gruppe das DNC angriff, er übergab einige Unterlagen dem NSA und dem FBI. Von den Niederlanden wurden die genannten Tätigkeiten nicht bestätigt.

Im Januar 2024 griff Midnight Blizzard nach Angaben von Microsoft auf einen „sehr kleinen Prozentsatz“ von E-Mail-Konten von Microsoft-Mitarbeitern zu, darunter laut Microsoft Mitglieder des Führungsteams und Mitarbeiter aus den Bereichen Cybersicherheit, Recht und anderen Bereichen.

Im März 2024 versuchte Cozy Bear laut Analyse der IT-Sicherheitsfirma Mandiant mehrere deutsche Parteien mit Schadsoftware anzugreifen. CDU-Mitglieder erhielten gefälschte E-Mails, die mit Schadsoftware verbunden waren.

Im Juni 2024 berichtete TeamViewer, dass es von APT29 angegriffen worden sei. Dabei wurden Zugangsdaten der Mitarbeiter erbeutet und in das interne IT-Netzwerk eingedrungen. Jedoch betonte der IT-Dienstleister, dass CozyBear nicht auf die TeamViewer-Software zugreifen konnte, weil beide Netzwerke strikt getrennt wären.