Cyberspionage ist nach wie vor ein fester Bestandteil des russischen Krieges gegen die Ukraine. ESET Research verfolgt seit Langem Gamaredon, eine der aktivsten russlandnahen APT-Gruppen (Advanced Persistent Threat). Die Gruppe, die vom Sicherheitsdienst der Ukraine (SSU) dem 18. Zentrum für Informationssicherheit des russischen FSB zugeordnet wird, hielt das ganze Jahr 2025 über ein hohes Einsatztempo aufrecht.
In unserer neuesten Studie analysieren wir die Aktivitäten von Gamaredon im Jahr 2025, darunter neue Tools, die dem Arsenal der Gruppe hinzugefügt wurden, wesentliche Veränderungen beim Schutz ihrer Netzwerkinfrastruktur sowie die zunehmende Nutzung legitimer Dienste von Drittanbietern, um sowohl Command-and-Control-Informationen (C&C) als auch gestohlene Daten zu verbergen. Die vollständigen technischen Details finden Sie in unserem aktuellen Whitepaper.
Kernpunkte dieses Blogbeitrags:
- Im Laufe des Jahres 2025 richtete Gamaredon seine Angriffe ausschließlich gegen Regierungs- und Militäreinrichtungen in der Ukraine.
- Wir haben 35 verschiedene Spear-Phishing-Kampagnen gegen neue Ziele beobachtet. Der Großteil der Kampagnen wurde in der zweiten Jahreshälfte durchgeführt und war deutlich umfangreicher als frühere Aktionen.
- Weitere Ziele wurden über mehrere maßgeschneiderte „Weaponizer“ kompromittiert, die für die laterale Bewegung entwickelt wurden.
- Die Betreiber von Gamaredon entwickelten und setzten sechs neue bösartige PowerShell-Tools ein, die wir in unserem Whitepaper analysieren, und belebten einen alten VBScript-Weaponizer – PteroSetup – wieder.
- Die Dateidiebe „PteroVDoor“ und „PteroPSDoor“ wurden aktualisiert, um die Exfiltration in Cloud-Speicherdienste (Wasabi, Tebi und Intercolo) zu unterstützen, was zur primären Exfiltrationsmethode wurde.
- Die Betreiber von Gamaredon suchten nach neuen Wegen, ihre Netzwerkinfrastruktur zu schützen, wobei ihre C&C-Server nun hinter verschiedenen Drittanbieterdiensten wie Tunneln, Workern, DDNS (dynamisches DNS) und PaaS (Platform as a Service) verborgen sind.
- Zudem missbrauchten sie zahlreiche legitime Messaging-, Social-Media-, Blogging- und Paste-Dienste als „Dead Drops“, um C&C-Server aufzulösen und Payloads zu verbreiten.
Das Whitepaper ist unsere dritte ausführliche Veröffentlichung, in der die Taktiken, Techniken und Vorgehensweisen (TTPs) dieser Gruppe beschrieben werden, von der angenommen wird, dass sie von der besetzten Krim aus operiert. Im September 2024 veröffentlichten wir ein Whitepaper über die Aktivitäten von Gamaredon in den Jahren 2022 und 2023 – Cyberspionage à la Gamaredon: Analyse des Tool-Sets, das 2022 und 2023 zur Spionage gegen die Ukraine eingesetzt wurde“ – und im Juli 2025 veröffentlichten wir ein Whitepaper über die Aktivitäten von Gamaredon im Jahr 2024 – „Gamaredon im Jahr 2024: Spear-Phishing-Kampagnen gegen die Ukraine mit einem weiterentwickelten Tool-Set“.
Anhaltende Datenexfiltration und eine neue Allianz
Während des gesamten Jahres 2025 blieb Gamaredon äußerst aktiv und konzentrierte sich weiterhin ausschließlich auf die Ukraine. Das oberste Ziel der Gruppe ist nach wie vor die Exfiltration sensibler Informationen und anderer kritischer Daten, die zur Unterstützung russischer Interessen im andauernden Krieg in der Ukraine ausgenutzt werden könnten. Die Aktivitäten von Gamaredon scheinen eng auf die geopolitischen Ziele Russlands abgestimmt zu sein und zielen auf ukrainische Regierungs- und Militäreinrichtungen ab, um einen nachrichtendienstlichen Vorteil zu erlangen.
Neue Tools und Kooperationen in der ersten Jahreshälfte
Während die Gruppe im Januar 2025 eine kurze operative Pause einlegte, widmete Gamaredon einen Großteil ihrer Bemühungen in der ersten Jahreshälfte der Entwicklung und dem Einsatz neuer Tools. Wir beschreiben diese im Abschnitt „Sechs neue Tools, die vor allem auf die Bereitstellung ausgerichtet sind“ dieses Blogbeitrags. Zwar geben wir nicht für alle Änderungen an den Tools der Gruppe genaue Zeitstempel an, doch haben wir beobachtet, dass viele Aktualisierungen im Vorfeld wichtiger Feiertage in Russland und auf der Krim vorgenommen wurden. Bemerkenswerterweise wurden während oder unmittelbar nach diesen Feiertagen keine Aktualisierungen beobachtet, was weiter darauf hindeutet, dass es sich bei den Gamaredon-Betreibern wahrscheinlich um regierungsnahe Mitarbeiter handelt.
Insbesondere haben wir aufgedeckt, dass Gamaredon Anfang 2025 mit Turla zusammengearbeitet hat, einem weiteren russlandnahen Akteur, der ebenfalls mit dem FSB in Verbindung steht. Unsere Erkenntnisse haben wir im Blogbeitrag „Gamaredon X Turla collab“ dokumentiert. Diese Zusammenarbeit unterstreicht das Potenzial für koordinierte Cyberspionagekampagnen zwischen russlandnahen Gruppen, die ihre operative Wirkung wahrscheinlich verstärken werden. In der Vergangenheit arbeitete Gamaredon auch mit einem Akteur zusammen, den wir entdeckt und „InvisiMole“ getauft haben.
Im weiteren Sinne lieferte das Jahr 2025 ein anderes Beispiel für die Zusammenarbeit und Aufgabenteilung zwischen russlandnahen Akteuren: Wir beobachteten, wie die russlandnahe Gruppe UAC-0099 Erstzugangsoperationen durchführte und anschließend validierte Ziele zur weiteren Bearbeitung an Sandworm übergab. Wir haben unsere Erkenntnisse im ESET APT-Aktivitätsbericht Q2 2025–Q3 2025 dokumentiert.
Größere und häufigere Spear-Phishing-Kampagnen in der zweiten Jahreshälfte
In der zweiten Jahreshälfte verlagerte sich der Schwerpunkt der Gruppe stärker auf umfangreichere und häufigere Spear-Phishing-Kampagnen. In 2025 identifizierten wir 35 davon. Wie in den Vorjahren nutzten die meisten Kampagnen Archiv-Anhänge oder XHTML-Dateien mit HTML-Smuggling, um bösartige HTA-Downloader zu verbreiten, die wiederum den VBScript-Downloader „PteroSand“ und weitere Payloads abriefen. Wir beobachteten zudem Kampagnen, bei denen wahrscheinlich bösartige Hyperlinks anstelle von Anhängen verwendet wurden.
Abbildung 1 zeigt eine Grafik der monatlich in Gamaredon-Spearphishing-Kampagnen verbreiteten eindeutigen HTA-Downloader-Beispiele. Beachten Sie, dass diese Zahlen die Mindestanzahl an Spearphishing-Versuchen darstellen, da ein HTA-Downloader auf mehrere Personen abzielen kann und Personen im selben Monat Ziel mehrerer Kampagnen sein können.
Am auffälligsten war die Veränderung des Tempos. Gamaredon war in der zweiten Jahreshälfte deutlich aktiver, als die Kampagnen sowohl häufiger als auch umfangreicher wurden. Gegen Ende des Jahres führte die Gruppe zudem eine neue Technik ein: Ab dem 26. September 2025 nutzte sie die WinRAR-Sicherheitslücke CVE-2025-8088 aus, um ihren üblichen bösartigen HTA-Downloader im Autostart-Ordner des Opfers zu platzieren. Dadurch konnte der Downloader bei der nächsten Anmeldung ausgeführt werden, was einer Kompromittierungskette, die zuvor stärker auf Benutzerinteraktion angewiesen war, Persistenz verlieh.
Weaponizer für die Bewegung über das kompromittierte System hinaus
Über Spearphishing hinaus setzte Gamaredon auch weiterhin maßgeschneiderte „Weaponizer“ für die laterale Bewegung ein. Diese Tools nutzen USB-Sticks, zugeordnete Netzlaufwerke und sogar Software-Installationsprogramme als Einfallstore. Sie helfen der Gruppe, sich nach dem anfänglichen Kompromittieren innerhalb oder über Organisationen hinweg auszubreiten.
Sechs neue Tools, überwiegend auf die Verbreitung ausgerichtet
Gamaredon führte im Jahr 2025 sechs neue Tools ein, die alle in PowerShell geschrieben waren. Fünf davon tauchten im ersten Quartal des Jahres auf. Das deutet darauf hin, dass die Gruppe die ersten Monate des Jahres 2025 damit verbrachte, neue Verbreitungsketten aufzubauen, bevor sie in der zweiten Jahreshälfte ihren Fokus verstärkt auf groß angelegtes Spearphishing richtete.
Die meisten dieser neuen Tools sind relativ einfach:
- PteroDee und PteroCache sind einfache PowerShell-Downloader zum Abrufen und Ausführen von PowerShell-Payloads im Arbeitsspeicher.
- PteroDum dient einem ähnlichen Zweck, allerdings für VBScript-Payloads: Es schreibt diese vorübergehend auf die Festplatte, führt sie aus und löscht sie anschließend wieder.
- PteroOdd ist ein winziger Downloader, der zum Abrufen einer einzelnen PowerShell-Nutzlast über die Telegra.ph-API verwendet wird. Unseren Beobachtungen zufolge scheint er vor allem in Fällen eingesetzt worden zu sein, die mit der Zusammenarbeit von Gamaredon und Turla in Verbindung stehen.
- PteroEffigy ist ein weiterer schlanker Downloader, der vor allem dadurch auffällt, dass er den Cloud-Speicherdienst GoFile nutzt, um den nächsten C&C-Server zu ermitteln.
Das herausragende neue Tool ist PteroPaste, das deutlich komplexer ist als die anderen. Es kombiniert einen Downloader, einen USB-Weaponizer und eine Runner-Komponente, die für Persistenz und Orchestrierung genutzt wird. Frühe Versionen von PteroPaste nutzten Rentry als zwischengeschalteten Staging-Punkt für verschlüsselte Payloads. Spätere Versionen haben diesen Ansatz aufgegeben und rufen stattdessen einen verschlüsselten C&C-Hostnamen von Dropbox ab, entschlüsseln ihn lokal und stellen dann eine Verbindung zu einer Infrastruktur her, die hinter Tunnel-Diensten verborgen ist. PteroPaste ist zudem eines der Tools, die an der Zusammenarbeit zwischen Gamaredon und Turla beteiligt sind, die wir im Jahr 2025 dokumentiert haben.
Gamaredon hat zudem PteroSetup wiederbelebt, einen älteren VBScript-Weaponizer, der wahrscheinlich bereits Jahre zuvor eingestellt worden war. Die wiederbelebte Version durchsucht feste, Wechsel- und Netzlaufwerke nach ausführbaren Dateien, die wie Installationsprogramme aussehen, und ersetzt diese durch bösartige, selbstextrahierende Archive. Diese enthalten sowohl das ursprüngliche Installationsprogramm als auch einen bösartigen VBScript-Downloader. Für das Opfer erscheint die Datei weiterhin legitim, doch beim Ausführen werden sowohl das erwartete Installationsprogramm als auch der bösartige Code gestartet.
Insgesamt entsprechen die neuen Ergänzungen im Arsenal von Gamaredon einem Muster, das wir bereits kennen: Anstatt in hochentwickelte Malware zu investieren, bevorzugt die Gruppe eine größere Anzahl einfacher Tools, die schnell aktualisiert und flexibel kombiniert werden können.
Wichtige Aktualisierungen zu bereits bekannten Tools wie PteroLNK, PteroPSLoad, PteroPSDoor, PteroVDoor und PteroBox sind im Whitepaper zu finden.
Fortgeschrittene Netzwerkinfrastruktur
Gamaredon hat seine Techniken zum Schutz der Netzwerkinfrastruktur und zur Verschleierung seiner C&C-Server weiter verfeinert. In 2025 nahm die Abhängigkeit der Gruppe von Drittanbieterdiensten deutlich zu, wobei Tunnel-Dienste und serverlose Worker-Plattformen eine immer wichtigere Rolle bei der Verschleierung ihrer tatsächlichen Backend-Infrastruktur spielten.
Tunnel-Dienste sind legitime Tools, die es ermöglichen, ein System oder eine Anwendung über eine vom Anbieter kontrollierte Domain ins Internet zu stellen, ohne den tatsächlichen Server direkt preiszugeben. Worker dienen einem ähnlichen Zweck, gehen jedoch noch einen Schritt weiter: Anstatt den Datenverkehr lediglich weiterzuleiten, handelt es sich um serverlose Plattformen, die Code ausführen und Anfragen verarbeiten können, bevor sie diese weiterleiten. In der Praxis tragen beide dazu bei, die zugrunde liegende Infrastruktur zu verschleiern und Störungen zu erschweren.
Tunnel, Workers und die Rückkehr zu DDNS
Bereits Ende 2024 stützte sich Gamaredon stark auf Cloudflare-Tunnel (trycloudflare.com), um seine Infrastruktur zu verbergen, und in 2025 baute die Gruppe diesen Ansatz weiter aus. Im Mai beobachteten wir erstmals, dass die Gruppe C&C-Server hinter Cloudflare-Workern (workers.dev) versteckte, und im Juni kamen Microsofts devtunnels.ms sowie Loophole (loophole.site) hinzu. Diese Dienste wurden oft gemeinsam genutzt, wobei einer als primärer Kommunikationsweg diente und die anderen als Ausweichmöglichkeiten fungierten.
In einigen vereinzelten Fällen beobachteten wir auch Versuche mit anderen Tunnel-Diensten wie loca.lt und bore.pub, doch diese schienen nicht Teil des regulären Instrumentariums der Gruppe zu werden.
Gamaredon griff zudem wieder auf eine Technik zurück, die einst ein Markenzeichen ihrer Operationen gewesen war: dynamisches DNS (DDNS). Nachdem die Gruppe mehrere Jahre lang stärker auf registrierte Domains gesetzt hatte, begann sie erneut, No-IP-Domains in verschiedenen Tools zu nutzen, insbesondere in HTA-Downloadern, die im Rahmen von Spear-Phishing-Kampagnen verbreitet wurden. Parallel dazu beobachteten wir, dass Gamaredon in mehreren Kampagnen Platform-as-a-Service-Angebote von Clever Cloud (cleverapps.io) und Supabase (supabase.co) missbrauchte, was darauf hindeutet, dass die Gruppe nach wie vor aktiv nach kostengünstiger, wegwerfbarer Infrastruktur sucht, die sich in den legitimen Datenverkehr einfügt.
Nutzung eines alten Spionagekonzepts: Dead Drops
Einer der wichtigsten Aspekte der Operationen von Gamaredon in 2025 war die intensive Nutzung sogenannter „Dead-Drop“-Dienste. Der Begriff stammt aus der traditionellen Spionage. Anstatt sich direkt zu treffen, hinterlässt ein Agent Informationen an einem öffentlichen oder versteckten Ort, und ein anderer holt sie später ab. Online funktioniert das Prinzip ähnlich. Anstatt den eigentlichen Schadenserver direkt in die Malware einzubetten, platzieren die Betreiber diese Informationen auf einer legitimen Website oder Plattform, und die Malware ruft sie von dort ab. Das bedeutet, dass die Schadsoftware möglicherweise zunächst eine öffentliche Seite eines legitimen Dienstes kontaktiert, einen dort versteckten oder vorgetäuschten Wert ausliest und sich erst danach mit dem eigentlichen C&C-Server verbindet.
Dieser Ansatz bietet Angreifern mehrere Vorteile. Er macht ihre Operationen flexibler, da sie schnell den Server wechseln können. Außerdem erschwert er die Blockierung, da Verteidiger zögern könnten, legitime und weit verbreitete Dienste pauschal zu sperren.
In 2025 missbrauchte Gamaredon zahlreiche Dienste auf diese Weise: Telegram-Kanäle (über t.me; den offiziellen URL-Kürzungsdienst von Telegram), Beiträge auf den Plattformen Telegra.ph (telegra.ph) und Teletype (teletype.in), rentry.co, write.as, Dropbox, GoFile, die sozialen Netzwerke DEV Community (dev.to) und Mastodon (mastodon.social), lesma (lesma.eu), nopaste.net sowie Paste.ee (pastee.dev). In einigen Fällen wurden diese Dienste genutzt, um aktualisierte C&C-Informationen zu veröffentlichen. In anderen Fällen dienten sie zur Übermittlung von Payloads oder Konfigurationsdaten für Cloud-Speicher.
Im Vergleich zu 2024 konnten wir zudem eine Veränderung in der Art und Weise feststellen, wie Gamaredon diese „Dead Drops“ nutzte. Anstatt einfach nur rohe C&C-IP-Adressen zu veröffentlichen, nutzten die Betreiber sie zunehmend dazu, Malware auf eine Infrastruktur zu leiten, die bereits hinter Tunneln oder „Workern“ verborgen war. Mit anderen Worten: Der Dead Drop gab oft nicht mehr direkt den tatsächlichen Server preis, sondern verwies stattdessen auf eine weitere Zwischenschicht.
Cloud-Speicher wurde zum bevorzugten Kanal für die Datenexfiltration
Die andere große Veränderung in der Infrastruktur betraf den Bereich der Datenexfiltration. Gamaredon rüstete zwei seiner wichtigsten Dateidiebstahl-Tools, PteroPSDoor und PteroVDoor, so auf, dass gestohlene Dateien auf S3-kompatible Cloud-Speicherdienste hochgeladen werden konnten – Anbieter, die die Amazon-S3-API unterstützen, sodass dieselben Tools und derselbe Code bei verschiedenen Speicheranbietern funktionieren. Im Laufe des Jahres verlagerten sich die Konfigurationen von Wasabi (wasabisys.com) zu Tebi (tebi.io) und anschließend zu Intercolo (de-fra.i3storage.com), das bis Dezember zum primären Ziel für die Datenexfiltration geworden war.
Gleichzeitig lud PteroBox weiterhin Dateien auf Dropbox hoch, wobei eine neuere Variante hierfür das Dienstprogramm „rclone“ nutzte.
Das Hochladen gestohlener Dateien in Cloud-Speicher verringert die Notwendigkeit für Gamaredon, eine eigene Infrastruktur für den Empfang großer Mengen gestohlener Daten zu unterhalten. Außerdem hilft es dabei, den böswilligen Datenverkehr mit dem Zugriff auf legitime Speicheranbieter zu vermischen. Im Wesentlichen nutzt Gamaredon zunehmend Dienste von Drittanbietern, um nicht nur die Herkunft der Anweisungen zu verschleiern, sondern auch den Verbleib der gestohlenen Daten zu verbergen.
Fazit
Gamaredon konzentrierte seine Cyberspionageaktivitäten im Laufe des Jahres 2025 weiterhin ausschließlich auf die Ukraine. Nichts in den ESET-Telemetriedaten deutet darauf hin, dass sich dies in naher Zukunft ändern wird.
Zwar handelte es sich bei den sechs im Jahr 2025 eingeführten neuen Tools größtenteils um einfache Downloader, doch die wichtigere Entwicklung war die fortgesetzte Weiterentwicklung der Infrastruktur, die die Operationen der Gruppe unterstützt. Gamaredon baute den Einsatz von Dead Drops, Tunneln, „Workern“, dynamischem DNS und Cloud-Speicher weiter aus, wodurch seine Operationen flexibler und schwerer zu stören wurden.
Wie in den Vorjahren glich die Gruppe die relative Einfachheit ihrer Malware durch Persistenz, häufige Updates und einen zunehmend kreativen Missbrauch legitimer Online-Dienste aus. Solange der Krieg Russlands gegen die Ukraine andauert, gehen wir davon aus, dass Gamaredon eine erhebliche Bedrohung durch Cyberspionage für ukrainische Institutionen bleiben wird.
IoCs
Eine umfassende Liste von Indikatoren für Kompromittierung (IoCs) finden Sie in unserem GitHub-Repository und im Gamaredon-Whitepaper.
