Der Nebel des Krieges – The Fog of War

Gemeinsame Unterstützung für die Ukraine

Seit Beginn des Krieges arbeiten Regierungen, Unternehmen, zivilgesellschaftliche Gruppen und unzählige andere rund um die Uhr daran, die ukrainische Bevölkerung und ihre Institutionen zu unterstützen.

Eine der dringlichsten Herausforderungen besteht jedoch darin, dass die ukrainische Regierung nahezu ständig digitalen Angriffen ausgesetzt ist. Kurz nach der Invasion hat Google die Berechtigung für Project Shield, den kostenlosen Schutz vor verteilten Denial-of-Service-Angriffen (DDoS), ausgeweitet, damit ukrainische Regierungswebsites und Botschaften weltweit online bleiben und weiterhin wichtige Dienste anbieten können.

Die wichtigsten Erkenntnisse

1. Die von der russischen Regierung unterstützten Angreifer haben aggressive, mehrgleisige Anstrengungen unternommen, um sich einen entscheidenden Kriegsvorteil im Cyberspace zu verschaffen, oft mit gemischten Ergebnissen.

Dazu gehören eine deutliche Verlagerung des Schwerpunkts verschiedener Gruppen auf die Ukraine, eine drastische Zunahme destruktiver Angriffe auf die ukrainische Regierung sowie auf militärische und zivile Infrastrukturen, eine Zunahme von Spear-Phishing-Aktivitäten, die auf NATO-Länder abzielen, und eine Zunahme von Cyber-Operationen, mit denen mehrere russische Ziele verfolgt werden. So hat Google beobachtet, dass Bedrohungsakteure sensible Informationen hacken und durchsickern lassen, um ein bestimmtes Narrativ zu fördern.

Die von der russischen Regierung unterstützten Angreifer verstärkten ihre Cyberoperationen ab 2021 im Vorfeld der Invasion. Im Jahr 2022 verstärkte Russland die Angriffe auf Nutzer in der Ukraine um 250 % im Vergleich zu 2020. Die Angriffe auf Nutzer in NATO-Ländern nahmen im gleichen Zeitraum um über 300 % zu.

Im Jahr 2022 zielten die von der russischen Regierung unterstützten Angreifer mehr auf Nutzer in der Ukraine ab als auf jedes andere Land. Diese Angreifer konzentrieren sich stark auf ukrainische Regierungs- und Militäreinrichtungen, aber es gibt auch einen starken Fokus auf kritische Infrastrukturen, Versorgungsunternehmen und öffentliche Dienste sowie den Medien- und Informationsbereich.

Mandiant hat in den ersten vier Monaten des Jahres 2022 mehr zerstörerische Cyberangriffe in der Ukraine beobachtet als in den vorangegangenen acht Jahren, wobei die Angriffe ihren Höhepunkt zu Beginn der Invasion erreichten. Nach diesem Zeitraum wurden zwar erhebliche Aktivitäten beobachtet, doch das Tempo der Angriffe verlangsamte sich und wirkte weniger koordiniert als bei der ersten Welle im Februar 2022.

Insbesondere traten destruktive Angriffe oft schneller auf, nachdem der Angreifer sich Zugang verschafft oder wiedererlangt hatte, häufig über kompromittierte Edge-Infrastrukturen. Viele Operationen deuteten darauf hin, dass die Hauptdirektion des Generalstabs der russischen Streitkräfte (GRU) versuchte, die konkurrierenden Prioritäten des Zugangs, der Erfassung und der Störung in jeder Phase der Aktivität auszugleichen.

2. Moskau hat das gesamte Spektrum der Öffentlichkeitsarbeit – von offenen staatlich unterstützten Medien bis hin zu verdeckten Plattformen und Konten – genutzt, um die öffentliche Wahrnehmung des Krieges zu beeinflussen.

Mit diesen Operationen werden drei Ziele verfolgt:

Unterminierung der ukrainischen Regierung

Schwächung der internationalen Unterstützung für die Ukraine

Aufrechterhaltung der nationalen Unterstützung für den Krieg in Russland

Google hat Aktivitätsspitzen im Zusammenhang mit Schlüsselereignissen des Konflikts wie dem Aufbau, der Invasion und der Truppenmobilisierung in Russland beobachtet. Google hat intensiv daran gearbeitet, diesen Aktivitäten entgegenzuwirken, und offene und verdeckte IO-Kampagnen zu unterbrechen.

3. Die Invasion hat eine bemerkenswerte Verschiebung im osteuropäischen Ökosystem der Cyberkriminellen ausgelöst, die wahrscheinlich langfristige Auswirkungen sowohl auf die Koordination zwischen kriminellen Gruppen als auch auf das Ausmaß der weltweiten Cyberkriminalität haben wird.

Einige Gruppen haben sich aufgrund politischer Loyalitäten und geopolitischer Erwägungen gespalten, während andere prominente Akteure verloren haben, was sich auf die Art und Weise auswirken wird, wie wir über diese Gruppen und unser traditionelles Verständnis ihrer Fähigkeiten denken.

Außerdem ist ein Trend zur Spezialisierung im Ransomware-Ökosystem zu beobachten, der die Taktiken der verschiedenen Akteure vermischt und eine eindeutige Zuordnung erschwert. Der Krieg in der Ukraine wurde auch dadurch bestimmt, was erwartet wurde, aber nicht geschehen ist. So hat Google zum Beispiel keinen Anstieg der Angriffe auf kritische Infrastrukturen außerhalb der Ukraine beobachtet.

TAG sieht auch, dass Taktiken, die eng mit finanziell motivierten Bedrohungsakteuren verbunden sind, in Kampagnen mit Zielen eingesetzt werden, die typischerweise mit von der Regierung unterstützten Angreifern in Verbindung gebracht werden. Im September 2022 berichtete TAG über einen Bedrohungsakteur, dessen Aktivitäten sich mit UAC-0098 von CERT-UA überschneiden, einem Bedrohungsakteur, der in der Vergangenheit den IcedID-Bankentrojaner verbreitet hat, der zu von Menschen ausgeführten Ransomware-Angriffen führt. Laut Google nach handelt es sich bei einigen Mitgliedern von UAC-0098 um ehemalige Conti-Mitglieder, die ihre Techniken auf die Ukraine übertragen.

Ein Blick in die Zukunft

Google geht mit hoher Wahrscheinlichkeit davon aus, dass von der russischen Regierung unterstützte Angreifer weiterhin Cyberangriffe gegen die Ukraine und NATO-Partner durchführen werden, um russische strategische Ziele zu fördern.

Außerdem gibt es eine hohe Wahrscheinlichkeit, dass Moskau als Reaktion auf Entwicklungen auf dem Schlachtfeld, die das – tatsächliche oder vermeintliche – Gleichgewicht grundlegend zugunsten der Ukraine verschieben (z.B. Truppenverluste, neue ausländische Zusagen zur politischen oder militärischen Unterstützung usw.), verstärkt störende und zerstörerische Angriffe durchführen wird. Diese Angriffe werden sich in erster Linie gegen die Ukraine richten, sich aber zunehmend auch auf die NATO-Partner ausweiten.

Google sieht eine mäßige Wahrscheinlichkeit, dass Russland das Tempo und den Umfang der IO weiter erhöhen wird, um die oben beschriebenen Ziele zu erreichen, vor allem, wenn wir uns Schlüsselmomenten wie der internationalen Finanzierung, der Militärhilfe, den Referenden im Land und anderen nähern. Weniger klar ist, ob diese Aktivitäten die gewünschte Wirkung erzielen oder lediglich den Widerstand gegen die russische Aggression im Laufe der Zeit verstärken werden.

Es ist klar, dass Cyberangriffe auch in Zukunft eine wichtige Rolle in bewaffneten Konflikten spielen werden und die traditionellen Formen der Kriegsführung ergänzen.  Google hat sich verpflichtet, seinen Teil zur Unterstützung der kollektiven Verteidigung beizutragen.

Joint support for Ukraine

Since the beginning of the war, governments, businesses, civil society groups, and countless others have been working around the clock to support the Ukrainian people and their institutions.

One of the most pressing challenges, however, is that the Ukrainian government is under near-constant digital attack. Shortly after the invasion, Google extended eligibility for Project Shield, free protection against distributed denial-of-service (DDoS) attacks, to help Ukrainian government websites and embassies around the world stay online and continue to provide critical services.

Key findings

1. Russian government-backed attackers have engaged in aggressive, multi-pronged efforts to gain a decisive wartime advantage in cyberspace, often with mixed results.

These include a significant shift in focus by various groups to Ukraine, a dramatic increase in destructive attacks against the Ukrainian government and military and civilian infrastructure, an increase in spear-phishing activities targeting NATO countries, and an increase in cyber operations targeting multiple Russian targets. For example, Google has observed threat actors hacking and leaking sensitive information to promote a particular narrative.

Russian government-backed attackers ramped up cyber operations beginning in 2021 in the lead-up to the invasion. In 2022, Russia increased attacks on users in Ukraine by 250% compared to 2020, and attacks on users in NATO countries increased by over 300% during the same period.

In 2022, Russian-backed attackers targeted users in Ukraine more than any other country. These attackers are heavily focused on Ukrainian government and military facilities, but there is also a strong focus on critical infrastructure, utilities and public services, and the media and information sectors.

Mandiant observed more destructive cyberattacks in Ukraine in the first four months of 2022 than in the previous eight years, with attacks peaking at the beginning of the invasion. After that period, while significant activity was observed, the pace of attacks slowed and appeared less coordinated than during the first wave in February 2022.

In particular, destructive attacks often occurred more quickly after the attacker gained or regained access, often through compromised edge infrastructures. Many operations indicated that the Main Directorate of the General Staff of the Russian Armed Forces (GRU) sought to balance the competing priorities of access, acquisition, and disruption at each stage of the activity.

2. Moscow has used the full spectrum of public relations-from overt state-sponsored media to covert platforms and accounts-to influence public perceptions of the war.

These operations have pursued three goals:

Undermining the Ukrainian government

Weakening international support for Ukraine

Maintaining national support for the war in Russia.

Google has observed spikes in activity related to key events in the conflict, such as the buildup, invasion, and troop mobilization in Russia. Google has worked hard to counter these activities, and disrupt overt and covert IO campaigns.

3. The invasion has triggered a remarkable shift in the Eastern European cybercriminal ecosystem that is likely to have long-term implications for both coordination among criminal groups and the scale of cybercrime worldwide.

Some groups have split based on political loyalties and geopolitical considerations, while others have lost prominent players, which will affect the way we think about these groups and our traditional understanding of their capabilities.

There is also a trend toward specialization in the ransomware ecosystem, which mixes the tactics of different actors and makes clear attribution difficult. The war in Ukraine was also determined by what was expected but did not happen. For example, Google has not seen an increase in attacks on critical infrastructure outside of Ukraine.

TAG also sees tactics closely associated with financially motivated threat actors being used in campaigns with targets typically associated with government-backed attackers. In September 2022, TAG reported on a threat actor whose activities overlap with CERT-UA’s UAC-0098, a threat actor that in the past has distributed the IcedID banking Trojan that leads to human executed ransomware attacks. According to Google, some members of UAC-0098 are former Conti members who are transferring their techniques to Ukraine.

A look into the future

Google believes there is a high probability that Russian government-backed attackers will continue to conduct cyberattacks against Ukraine and NATO partners to further Russian strategic goals.

There is also a high likelihood that Moscow will conduct more disruptive and destructive attacks in response to developments on the battlefield that fundamentally shift the balance – real or perceived – in Ukraine’s favor (e.g., troop losses, new foreign commitments of political or military support, etc.). These attacks will be directed primarily against Ukraine, but will increasingly extend to NATO partners.

Google sees a moderate likelihood that Russia will continue to increase the pace and scope of IO to achieve the goals described above, especially as we approach key moments such as international funding, military assistance, in-country referenda, and others. What is less clear is whether these activities will have the desired effect or merely increase resistance to Russian aggression over time.

It is clear that cyberattacks will continue to play an important role in armed conflict, complementing traditional forms of warfare.  Google is committed to doing its part to support collective defense.