Nehmen Sie am 23. Februar um 10:00 Uhr ET an der Live-Bedrohungsanalyse und Fragerunde der Insikt Group teil. Registrieren

Executive Summary

• Im Falle einer erneuten russischen Invasion in der Ukraine gehen wir davon aus, dass die Cyberangriffe gegen die Ukraine in erster Linie aus DDoS-Angriffen und Website-Defacements gegen ukrainische Regierungs- und Medienorganisationen, die Internetinfrastruktur und von ukrainischen Bürgern genutzte E-Dienste wie beispielsweise Online-Banking bestehen werden. Diese Cyberangriffe würden wahrscheinlich darauf abzielen, Verwirrung zu stiften, die Kommunikation zu behindern, eine ukrainische Militärantwort zu schwächen und die ukrainische Bevölkerung im Rahmen einer umfassenderen hybriden Kriegsführung zu demoralisieren.
• Russland nutzt mit ziemlicher Sicherheit Einflussmittel und Taktiken, Techniken und TTPs, sowohl verdeckt als auch offen, um die Wahrnehmung seines militärischen Aufmarsches entlang der nördlichen, südlichen und östlichen Grenzen der Ukraine durch die ukrainische Öffentlichkeit, die Bevölkerung im Inland und international zu beeinflussen. Zu den wichtigsten Einflussnarrativen gehören die Behauptung, dass Russland und nicht die Ukraine ein Opfer von Aggression sei; dass Russland ein defensiver Beschützer sei; und Behauptungen über interne Machtkämpfe zwischen NATO-Partnern.
• Insikt Group hat keinen Rückzug russischer Truppen oder Vermögenswerte von der ukrainischen Grenze beobachtet, und wir haben beobachtet, dass zusätzliche Truppen und Spezialausrüstung in Richtung Ukraine vorrücken, entsprechend den Einschätzungen der USA, der NATO und der Ukraine. Wir stimmen zudem der Einschätzung zu, dass Russland eine False-Flag-Operation als Vorwand für eine russische Invasion der Ukraine plant, mit einer verstärkten Präsenz russischer privater Militärunternehmen und jüngsten Beispielen wahrscheinlicher False-Flag-Operationen. Darüber hinaus hat die russische Staatsduma ein Gesetz vorbereitet, um die Unabhängigkeit der selbsternannten Volksrepublik Donezk (DVR) und der Volksrepublik Luhansk (LPR) offiziell anzuerkennen.

Cyber-Offensivaktionen

Jüngste Cyberangriffe gegen die Ukraine Die jüngsten Cyberangriffe gegen die Ukraine stehen im Einklang mit den strategischen Zielen Russlands. Bei den Cyberangriffen handelte es sich um verteilte Denial-of-Service-Angriffe (DDoS), Website-Defacements, betrügerische Nachrichten und Malware-Angriffe, die vorwiegend ukrainische Regierungsorganisationen, Medienorganisationen, von Bürgern genutzte E-Dienste und andere Organisationen des privaten Sektors zum Ziel hatten. Nachfolgend sind einige bemerkenswerte Angriffe aufgeführt:

• DDoS — Am 15. Februar 2022 richteten sich mächtige DDoS-Angriffe gegen die ukrainischen Streitkräfte, das Verteidigungsministerium, den öffentlichen Rundfunk und die beiden größten nationalen Banken und schalteten einige Dienste für zwei Stunden außer Betrieb. Die DDoS-Angriffe ließen die Ukrainer daran hindern, einige wichtige Dienste zu nutzen, und führten zu Verwirrung und Sorge, da russische Truppen weiterhin an der ukrainischen Grenze zusammenziehen. Seitdem gab es weitere DDoS-Aktivitäten, darunter die Angriffe auf das Government Services Portal der Ukraine, obwohl es Berichten zufolge keine Auswirkungen auf die Website gab.
• Betrügerische Nachrichten – Im Zusammenhang mit den DDoS-Angriffen auf ukrainische Organisationen, darunter Banken, am 15. Februar 2022, erhielten einige Nutzer der Privatbank eine SMS, in der sie darüber informiert wurden, dass die Geldautomaten der Bank nicht funktionierten. Diese Nachrichten wurden jedoch nicht von der Privatbank versendet, und die ukrainische Cyberpolizei erklärte, es handele sich um einen Informationsangriff.
• Website-Defacements — Am 14. Januar 2022 defacementierte Bedrohungsakteur , die wahrscheinlich russischen strategischen Zielen diente, fast 70 ukrainische Regierungswebseiten, darunter Webseiten des ukrainischen Außenministeriums, des Verteidigungsministeriums, des staatlichen Katastrophenschutzdienstes, des Ministerkabinetts und des Ministeriums für Bildung und Wissenschaft. Später wurde vermutet, dass die Angriffe von der Advanced Persistent Threat (APT) UNC1151 durchgeführt wurden, einer Gruppe mit Verbindungen zur belarussischen Regierung, die Schadsoftware einsetzte, die Ähnlichkeiten mit Werkzeugen aufwies, die zuvor von der russischen, staatlich geförderten APT29 verwendet wurden. Die Schmierereien warnten die Ukrainer vage davor, „mit dem Schlimmsten zu rechnen“, und schürten die Befürchtung, dass die Schmierereien der Beginn weiterer Bedrohungsaktivitäten im Vorfeld einer konventionellen russischen Kampagne in der Ostukraine seien.
• Malware – Datenlöschende Malware, die als Ransomware getarnt ist und WhisperGate genannt wird, zielte im Januar 2022 auf mehrere Branchen in der Ukraine ab, darunter Regierungen, gemeinnützige und IT-Organisationen. Das ukrainische CERT deutete darauf hin, dass es sich bei den Angriffen um eine False-Flag-Operation handelte, die WhiteBlackCrypt-Ransomware nachahmte, vermutlich um die Zuschreibung zu erschweren. Insikt Group haben die WhisperGate-Malware analysiert und Erkennungsregeln für unsere Kunden erstellt. Wir unterstützen die False-Flag-Bewertung und weisen darauf hin, dass solche Taktiken zuvor von russischen Bedrohungsakteur beim Angriff auf die Ukraine eingesetzt wurden, zum Beispiel bei der Nutzung von BadRabbit-Ransomware.

Dark Web und Cyberkriminalität mit Bezug zur Ukraine Insikt Group hat in den letzten 3 Monaten einen deutlichen Anstieg von Dark Web-Anzeigen und Verkäufen von Daten und Netzwerkzugangsmethoden mit Bezug zur Ukraine festgestellt. Wir haben in den letzten 12 Monaten 7 Insikt Group Threat Leads mit Bezug zur Ukraine identifiziert, 6 davon in den letzten 3 Monaten. Laut dem Bericht der Insikt Group„ Dunkler Pakt: Verbindungen zwischen dem russischen Staat und kriminellen Akteuren“ halten wir es für sehr wahrscheinlich, dass russische Geheimdienste und Strafverfolgungsbehörden eine langjährige, stillschweigende Übereinkunft mit kriminellen Bedrohungsakteur haben; in einigen Fällen ist es nahezu sicher, dass die Geheimdienste eine etablierte und systematische Beziehung zu kriminellen Bedrohungsakteur unterhalten, sei es durch Assoziation oder Rekrutierung. Zu den kürzlich identifizierten Ereignissen von Interesse gehören:

• Am 2. Februar 2022 stellten wir fest, dass „an3key“, ein Mitglied des Raid-Forums mittlerer Größe, einen Datenverlust von 904 GB vom internen Mailserver des Ministeriums für Gemeinden und Gebietsentwicklung (minregion[.]gov[.]ua) der Ukraine bekannt gab.
• Am 28. Januar 2022 stellten wir fest, dass „Kristina“, ein Mitglied des Raid Forums mittlerer Größe, einen kostenlosen Dokumentenleak im Zusammenhang mit der ukrainischen Nationalpolizei (mvs[.]gov[.]ua) anbot. Basierend auf Beispielbildern und Angaben Bedrohungsakteur umfassen die Informationen von Kompromiss Scans von Pässen, Ausweisen und anderen sensiblen Dokumenten, die mit lokalen und föderalen Polizeibeamten in der gesamten Ukraine und den besetzten Gebieten in Verbindung stehen.
• Die Insikt Group berichtete am 10. Februar 2022, dass Raid Forums eine Woche lang offline war. Seit seiner Wiedereröffnung in der Woche vom 14. Februar 2022 wird das Forum von den Nutzern spekulativ betrachtet, da der Administrator des Forums "Allmächtig" weiterhin nicht reagiert, andere Verwaltungskonten sich unregelmäßig verhalten und prominente Bedrohungsakteur im Forum (die seit Jahren darauf arbeiten) ihre Aktivitäten aufgeben. Wir können nicht bestätigen, ob das Forum derzeit von den Strafverfolgungsbehörden beschlagnahmt wurde, aber die genannten Aktivitäten führen dazu, dass Bedrohungsakteur das Forum aufgeben und ihre Aktivitäten an einen anderen Ort verlagern. Dies ist eine aktuelle und sich entwickelnde Situation, bei der Recorded Future überwacht wird und entsprechende relevante Updates bereitgestellt werden.

Bewertung von Cyberoffensiven im Fall einer russischen Invasion Im Falle einer erneuten russischen Invasion in der Ukraine halten wir es für wahrscheinlich, dass Cyberoffensiven gegen die Ukraine hauptsächlich aus DDoS-Angriffen und Website-Zerstörungen gegen ukrainische Regierungs- und Medienorganisationen, Internetinfrastruktur und von ukrainischen Bürgern genutzten E-Services wie digitalem Banking bestehen werden. Diese Cyberangriffe würden wahrscheinlich darauf abzielen, Verwirrung zu stiften, die Kommunikation zu behindern, ein ukrainisches Militär zu schwächen und die ukrainische Bevölkerung im Rahmen einer umfassenderen hybriden Kriegsführung zu demoralisieren.

• Es ist auch wahrscheinlich, dass im Falle einer Invasion ein bedeutenderer Cyberangriff auf die ukrainische physische Infrastruktur abzielen wird, ähnlich wie frühere Cyberangriffe auf die ukrainische Stromversorgung und das zerstörerische Pseudo-Ransomware-Angriff. Wir glauben, dass es nahezu sicher ist, dass russische staatlich geförderte APT-Gruppen in der Lage sind, solch bedeutende und zerstörerische Angriffe durchzuführen.
• Wir gehen davon aus, dass die vom russischen Staat unterstützte Bedrohungsakteur -Gruppe, prorussische Hacktivisten- und kriminelle Gruppen, die von der russischen Regierung unterstützt werden, sowie APT-Gruppen mit Verbindungen zur belarussischen Regierung, die wahrscheinlich von der russischen Regierung unterstützt werden, im Falle einer erneuten russischen Invasion in die Ukraine an Cyberangriffen gegen das Land beteiligt sein werden.
• Die obigen Bewertungen basieren auf der Analyse von Insikt Groupder russischen Hybridkriegsführung Taktiken, die 2007 Estland, 2008 Georgien und ab 2014 in die Ukraine zielten.

Bewertung der Cyberangriffe gegen andere Länder Es bestehen Bedenken, dass im Zusammenhang mit einer russischen Militärinvasion in der Ukraine auch staatlich geförderte Cyberangriffe Russlands gegen Organisationen außerhalb der Ukraine gestartet werden könnten. Die USA und Großbritannien haben Warnungen in diesem Umfang ausgesprochen. Wir glauben, dass diese Bedenken aufgrund früherer unkontrollierter russischer APT-Cyberangriffe, die wahrscheinlich nur die Ukraine zum Ziel hatten, sich aber viel weiter ausbreiteten, gerechtfertigt sind. Darüber hinaus ist es plausibel, dass Russland versuchen würde, Cyberangriffe gegen NATO-Staaten durchzuführen, um die Bemühungen und die Aufmerksamkeit von der Invasion der Ukraine abzulenken.

• Ein Beispiel für einen unkontrollierten Cyberangriff, der wahrscheinlich speziell auf die Ukraine abzielte, ist der NotPetya-Angriff des Sandworm-Teams im Juni 2017, der die Opfer schätzungsweise insgesamt mehr als 10 Milliarden Dollar kostete. Der Angriff richtete sich am 27. Juni 2017, dem Vorabend des ukrainischen Feiertags Verfassungstag, zunächst gegen ukrainische Unternehmen, breitete sich aber auf andere Länder aus, darunter die USA, Großbritannien, Frankreich, Deutschland, Italien, Polen, Australien und sogar Russland. Das Sicherheitsunternehmen ESET behauptete , dass sich 80 % der Opfer in der Ukraine befänden. Es kam zu vorübergehenden Störungen der öffentlichen Infrastruktur und des Geschäftslebens, zur dauerhaften Zerstörung von Daten und zu erheblichen wirtschaftlichen Schäden in 65 Ländern.
• Ein weiteres Beispiel ist der BadRabbit-Ransomware- Angriff im Oktober 2017, der ebenfalls Russland zugeschrieben wird und sich scheinbar unkontrolliert ausbreitete. Betroffen waren vor allem Organisationen in der Ukraine und in Russland, aber die Ransomware breitete sich auch auf andere Länder aus, darunter die Türkei, Deutschland, Polen, Japan, Südkorea und die USA.

Einflussoperationen

Russlands facettenreiches und vielseitiges Einflussökosystem prägt die Wahrnehmung des militärischen Aufbaus Russland setzt mit ziemlicher Sicherheit Einflussmittel und TTPssowohl heimlich als auch offen ein, um die Wahrnehmung seines militärischen Aufbaus an den nördlichen, südlichen und östlichen Grenzen der Ukraine im inländischen, ukrainischen und internationalen Publikum zu beeinflussen. Wir sind der Ansicht, dass die aktuellen russischen Informationsoperationen einen vielschichtigen und vielseitigen Ansatz verfolgen, um die Erzählung dieser Krise zu manipulieren, indem sie entwickelte menschliche Geheimdienstressourcen vor Ort in der Ukraine, verdeckte Elemente des russischen Desinformationsökosystems (wie geheimdienstgesteuerte oder anderweitig verbundene Nachrichtenquellen), Einflussoperationen in sozialen Medien sowie offizielle, offene Propaganda über die russischen Staatsmedien und politischen Apparate einsetzen.

• Es ist wahrscheinlich, dass das übergeordnete Ziel dieser Bemühungen darin besteht, langfristig den Aufstieg einer pro-russischen oder russischfreundlichen Regierung auf lokaler und nationaler Ebene der ukrainischen Regierung zu fördern. Kurzfristig zielen diese Taktiken eher darauf ab, ein destabilisierendes Umfeld vor einer möglichen russischen Invasion zu schaffen, um den Sieg leichter und mit geringeren Kosten (durch Verluste von Menschenleben, wirtschaftlichen Schäden oder andere Störungen) zu erringen.
• Die ukrainische SBU veröffentlichte am 14. Februar 2022 eine Erklärung, in der sie warnte, dass der "inländische Informationsraum unter beispiellosem Einfluss steht", und erklärte, dass "die Ukraine systematisch versucht wird, Panik zu säen, falsche Informationen zu verbreiten und den realen Zustand zu verzerren" und dass "all dies zusammen nichts weiter als eine weitere massive Welle hybrider Kriegsführung ist".
• Am 9. Februar 2022 gab die SBU bekannt , dass sie eine Social-Media-Botfarm identifiziert und geschlossen habe, bestehend aus 18.000 Social-Media-Konten, die angeblich Panik verbreiteten sowie Bombendrohungen gegen zivile und kritische Infrastrukturen verbreiteten.

Schwerpunktthemen russischer Einflussoperationen in der Ukraine Die Insikt Group beobachtet laufende verdeckte und offene russische Einflussoperationen, die eine falsche Haupterzählung fördern, nämlich dass Russland und nicht die Ukraine Opfer von Aggression sei. Diese Quellen verbreiten oft gemeinsam Behauptungen und Aussagen, wonach die Ukraine mit Unterstützung ihrer westlichen Partner eine Offensive in der Ostukraine vorbereitet. Häufig haben wir festgestellt, dass diese Behauptungen von Stellvertretern in der Ostukraine (d. h. prorussischen Separatisten und deren Führung) stammen und dann in russischen Staatsmedien und Regierungsquellen verstärkt werden.

• Zur Unterstützung dieses größeren Themas neigen antiamerikanische und anti-ukrainische Desinformationsnarrative in russischen Quellen dazu, Russland als defensiven Beschützer darzustellen, während sie den Westen und die Ukraine im Allgemeinen rechtswidriger und ungerechter Handlungen beschuldigen. Darüber hinaus stellen diese Quellen die NATO, die USA und die Ukraine als Aggressoren dar, werfen Menschenrechtsverletzungen gegen russische Minderheiten in der Ukraine vor, verteufeln Ukrainer als "Faschisten" und "Neonazis" und behaupten, die Ukraine halte sich nicht an die international anerkannten Minsk-Abkommen.
• Zu den weiteren, in jüngerer Zeit häufig diskutierten Themen gehören Vorwürfe interner Streitigkeiten zwischen NATO-Partnern, die darauf hindeuten, dass der Westen keinen Konsens darüber erzielen kann, wie mit Russland umzugehen ist, sowie negative Darstellungen westlicher Medien, in denen behauptet wird, westliche Nachrichtenagenturen würden bösartige Informationen über Russland verbreiten, um es in einen Krieg mit der Ukraine zu zwingen.

Geopolitik und physische Bedrohungen

Russische Militäraktivitäten

Die Insikt Group hat trotz offizieller Berichte der russischen Regierung und der Medien über einen Truppenabzug keinen Abzug russischer Truppen oder Vermögenswerte von der Grenze zur Ukraine beobachtet. Wir haben neue Videos und Fotos in den sozialen Medien beobachtet, die weiterhin Truppen und Spezialausrüstung in Richtung Ukraine zeigen, was mit den Einschätzungen der USA, der NATO und der Ukraine übereinstimmt, dass Russland tatsächlich 7.000 Soldaten an die Grenze verlegt hat. Die jüngsten Einschätzungen der USA lassen darauf schließen , dass Russland zwischen 169.000 und 190.000 Soldaten in und um die Ukraine zusammengezogen hat, und wir glauben, dass Russland die Kapazitäten seines Militärs an der Grenze zur Ukraine tatsächlich ausbaut.

• Laut Einschätzungen des US-Geheimdienstes wird eine russische Invasion der Ukraine wahrscheinlich mit Luft- und Raketenangriffen auf wichtige ukrainische Militärinfrastruktur, einschließlich Flugplätze, Luftverteidigung und Frühwarnsysteme, beginnen. Es wird davon ausgegangen, dass das russische Militär von mehreren Punkten an der ukrainischen Grenze im Osten und Norden aus angreifen wird, um Kiew innerhalb von ein bis zwei Tagen einzukesseln. Tatsächlich veröffentlichte der estnische Auslandsgeheimdienst einen Bericht, der „von russischen Geheimdiensten zusammengestellte Ziele in der Ukraine aufzeigt, deren Neutralisierung die Führung, die Wiederherstellung und die Versorgung der ukrainischen Streitkräfte sowie die Energieversorgung der Ukraine beeinträchtigen kann“.
• Russlands Militärübungen mit Belarus werden am 20. Februar 2022 enden , ebenso wie die Olympischen Winterspiele in Peking, die unserer Meinung nach ein entscheidender Moment sein werden, um zu beobachten, ob Russland tatsächlich entscheidet, Truppen und militärische Mittel aus Belarus und der Grenze zur Ukraine abzuziehen.

Provokationen und Operationen unter falscher Flagge Die Insikt Group stimmt mit den Einschätzungen der USA, Großbritanniens, der NATO und anderer Staaten überein, dass Russland Operationen unter falscher Flagge plant, um einen russischen Einmarsch in die Ukraine vorzutäuschen. Wir haben Äußerungen russischer Politiker beobachtet, die darauf hindeuten, dass die Wahrscheinlichkeit hoch ist, dass die Ukraine eine Militäroffensive im Donbas starten wird, dass Russland das Recht zum „Gegenangriff“ hat, wenn es die Notwendigkeit sieht, russische Staatsbürger in der Ostukraine zu schützen, dass Russland über Berichte ukrainischer Gewalt im Donbas besorgt ist und die Situation genau beobachtet, und dass Putin die Aktionen der Ukraine im Donbas mit einem Völkermord vergleicht. Darüber hinaus haben russische private Militärunternehmen Berichten zufolge ihre Präsenz in der Ukraine verstärkt , was der russischen Regierung eine weitere Möglichkeit zur Durchführung einer False-Flag-Operation eröffnet. Wir haben in letzter Zeit Fälle von möglichen False-Flag-Operationen beobachtet, darunter den Beschuss eines Kindergartens im Donbas.

• Am 16. Februar erklärte Kreml-Pressesprecher Dmitri Peskow gegenüber Reportern, dass die Wahrscheinlichkeit hoch sei, dass die Ukraine eine Militäroffensive im Donbas starten werde. Am 15. Februar 2022 verglich Putin die Situation im Donbass erneut mit einem Völkermord und sagte, dass die ukrainischen Behörden die Menschenrechte der ethnischen Russen in der Region verletzen. Am 14. Februar 2022 erklärte der russische Botschafter bei der EU, Wladimir Tschischow, dass Russland das Recht auf einen „Gegenangriff“ habe, wenn es die Notwendigkeit sehe, russische Staatsbürger in der Ostukraine zu schützen.
• Russische staatsnahe Medien berichten weiterhin über angebliche Gewalttaten des ukrainischen Militärs in Luhansk und Donezk. So berichtete beispielsweise Sputnik am 17. Februar 2022: „Ukrainische Streitkräfte beschießen vier Ortschaften der LVR mit Mörsergranaten und Handgranaten“.
• Zu den beiden jüngsten möglichen False-Flag-Operationen gehören die Entscheidung des russischen Ermittlungskomitees, ein Strafverfahren wegen „der Entdeckung von Massengräbern von Opfern der Streitkräfte der Ukraine in der [Volksrepublik Donezk (DVR) und der Volksrepublik Luhansk (LVR)]“ einzuleiten , und der Beschuss eines Kindergartens in der Ukraine, wobei prorussische und proukrainische Social-Media-Konten die jeweils andere Seite beschuldigten, den Angriff durchgeführt zu haben.
• Am 17. Februar 2022 verzeichnete die Sonderbeobachtermission der Organisation für Sicherheit und Zusammenarbeit in Europa in der Ukraine 189 Verstöße gegen die Waffenruhe, darunter 128 Explosionen, in der Region Donezk. In der Region Luhansk kam es zu weiteren 402 Verstößen gegen die Waffenruhe, darunter 188 Explosionen. Dies stellt einen deutlichen Anstieg gegenüber dem Vortag dar, an dem 24 bzw. 129 Verstöße gegen die Waffenruhe gezählt wurden.

Die russische Regierung bereitet Gesetze vor, um LPR und DPR formell anzuerkennen Am 15. Februar 2022 verabschiedete die russische Staatsduma einen Entwurf eines Resolutions, der an den Präsidenten der Russischen Föderation appellierte, mit der Bitte, die Unabhängigkeit der selbsternannten DPR und LPR anzuerkennen. Das Dokument wurde nun zur Prüfung an den russischen Präsidenten Wladimir Putin weitergeleitet.

• Am 16. Februar 2022 erklärte Wendy Sherman, die stellvertretende US-Außenministerin, in einem Interview mit der ukrainischen Prawda, dass die Anerkennung Russlands der DPR und der LPR die Ablehnung der russischen Verpflichtungen aus den Minsker Abkommen bedeuten würde. Zuvor äußerten NATO-Generalsekretär Jens Stoltenberg und der ukrainische Außenminister Dmytro Kuleba ähnliche Ansichten zur Anerkennung selbsternannter Republiken durch die russische Regierung.
• Die Oberhäupter der DVR und der LVR erklärten beide in den sozialen Medien, sie begrüßten die Position der russischen Staatsduma und seien der Russischen Föderation angesichts der angeblich zunehmenden Aggression, einschließlich „täglichem Beschuss“ und Truppenaufmarsch aus der Ukraine, dankbar.