Ghostwriter: Prometheus-Phishing gegen ukrainische Regierung

Der Belarus-nahe Akteur Ghostwriter nutzt Prometheus-Lures, um ukrainische Regierungsbehörden mit Phishing-Malware anzugreifen. CERT-UA warnt vor neuen …

Wer steckt hinter Ghostwriter?

Ghostwriter, auch bekannt als UAC-0057 und UNC1151, ist ein Bedrohungsakteur, der seit Jahren mit Belarus in Verbindung gebracht wird. Die Gruppe zielt bevorzugt auf ukrainische Regierungsstellen, aber auch auf Militär und NGOs. Ihre Taktik: gezielte Phishing-E-Mails mit Malware, die oft auf bekannte Plattformen verweisen.

Diesmal nutzen sie die Bildungsplattform Prometheus als Köder. Das ist ein cleverer Schachzug – denn viele ukrainische Beamte nutzen Prometheus für Fortbildungen. Genau diese Vertrautheit macht den Angriff so gefährlich.

Wie funktioniert der Angriff?

Die E-Mails sehen täuschend echt aus. Sie enthalten Links zu einer gefälschten Prometheus-Seite, die nach Anmeldedaten fragt. Wer seine Zugangsdaten eingibt, lädt unbemerkt Malware herunter. CERT-UA berichtet von mehreren erfolgreichen Infektionen in Regierungsnetzwerken.

Besonders perfide: Die Malware tarnt sich als legitime Software-Updates. Sie kann Passwörter stehlen, Screenshots machen und sogar Mikrofone aktivieren. Ein Albtraum für jede Behörde.

Warum Sie jetzt handeln sollten

Sie arbeiten im öffentlichen Dienst? Dann sind Sie ein potenzielles Ziel. Ghostwriter hat es nicht nur auf die Ukraine abgesehen – ähnliche Kampagnen gab es schon in Polen und Litauen. Prüfen Sie jede E-Mail mit Prometheus-Betreff genau. Geben Sie niemals Ihre Zugangsdaten auf einer Seite ein, die Sie per Link erreicht haben.

Die CERT-UA empfiehlt: Aktivieren Sie Zwei-Faktor-Authentifizierung für alle beruflichen Konten. Und schulen Sie Ihre Kollegen im Erkennen von Phishing. Denn der beste Schutz ist ein wachsames Auge.

Was Prometheus damit zu tun hat

Prometheus ist eine der größten Online-Lernplattformen der Ukraine. Tausende Regierungsmitarbeiter nutzen sie täglich. Ghostwriter missbraucht dieses Vertrauen systematisch. Die Plattform selbst ist nicht kompromittiert – die Angreifer fälschen lediglich deren Erscheinungsbild.

Doch die Wirkung ist enorm. Ein einziger gekaperter Account kann Zugang zu sensiblen Regierungsdaten verschaffen. Und von dort aus ist der Weg zu weiteren Systemen kurz. Ghostwriter ist bekannt dafür, solche Einstiegspunkte monatelang unentdeckt zu nutzen.

Technische Details der Malware

Die eingesetzte Malware gehört zur Familie der sogenannten Loader. Sie lädt nach der Installation weitere Schadsoftware nach. CERT-UA identifizierte Verbindungen zu bekannten C2-Servern, die bereits in früheren Ghostwriter-Kampagnen genutzt wurden. Ein klares Fingerabdruck des Akteurs.

Die Malware vermeidet Sandbox-Umgebungen und löscht sich selbst, wenn sie verdächtige Analysewerkzeuge erkennt. Das macht sie schwer zu untersuchen. Nur durch koordinierte Abwehrmaßnahmen mehrerer Behörden gelang die Identifikation.

Wie schützen Sie sich?

Erstens: Seien Sie misstrauisch bei unerwarteten E-Mails mit Links zu Prometheus. Zweitens: Prüfen Sie die Absenderadresse genau. Drittens: Nutzen Sie eine separate E-Mail-Adresse für Plattform-Anmeldungen. Viertens: Melden Sie verdächtige E-Mails sofort Ihrer IT-Abteilung.

Die CERT-UA hat eine Liste mit Indikatoren für Kompromittierung (IoC) veröffentlicht. Überprüfen Sie Ihre Systeme darauf. Und teilen Sie diese Informationen mit Ihrem Netzwerk – denn Ghostwriter schläft nicht.