APT29 (Cozy Bear / Midnight Blizzard)

Cloud-Identität ist das bevorzugte Schlachtfeld dieses Akteurs; Widerstandsfähigkeit gegen MFA-Umgehung und die Abschaltung von Legacy-Protokollen sind die wirksamsten Verteidigungsmaßnahmen.

Was ist APT29?

APT29 (Cozy Bear / Midnight Blizzard / Nobelium / The Dukes) ist eine Advanced Persistent Threat, die dem Auslandsnachrichtendienst Russlands (SVR) zugeschrieben wird. Ihre Operationen priorisieren die heimliche Kompromittierung von Identität und Cloud-Infrastruktur – Token-Diebstahl, Password Spraying und Lieferketten-Operationen – statt disruptiver Schadsoftware.

Warum es wichtig ist

APT29 ist eine der folgenreichsten Spionagegruppen der Gegenwart:

• SolarWinds SUNBURST (Betroffene Kunden durch Kompromittierung eines Zulieferers) erregte ab Ende 2019 weltweite Aufmerksamkeit.
• Microsoft-365-Cloud-Identitätsangriffe – Password Spraying und Token-Replay gegen Regierungs-, Technologie- und Forschungsmandanten.
• Microsoft bestätigte öffentlich (Januar 2024), dass Midnight Blizzard auf eine kleine Zahl unternehmenseigener E-Mail-Konten bei Microsoft zugegriffen hatte, darunter Postfächer der oberen Führungsebene.

Der Akteur zeigt, dass Cloud-Identität die neue Grenze ist: Eine einzige gültige Sitzung kann jede Netzwerkgrenze überdauern.

Aliase

Cozy Bear · Midnight Blizzard · Nobelium · The Dukes. Die Zuordnung ist analytischer Natur, nicht absolut – behandeln Sie alle Akteursnamen als Hypothesen, die durch veröffentlichte Belege gestützt werden.

Techniken, auf die es sich stützt

Laut MITRE ATT&CK (G0016) gehören zu den wichtigsten Techniken:

Ziele und Opfer

Regierungsorganisationen, Technologieanbieter, Forschungseinrichtungen und Microsoft-365-Mandanten. Die Gemeinsamkeit ist der strategische Geheimdienstwert und identitätsreiche Umgebungen.

Verwandte Kampagnen

• SolarWinds-SUNBURST-Lieferkettenkampagne – trojanisierte Updates, die über einen vertrauenswürdigen Anbieter ausgeliefert wurden.
• Okta / Midnight-Blizzard-Password-Spraying – anhaltende Identitätsangriffe auf M365-Mandanten.

Belege und Quellen

Konfidenz: 0.91. Primärquellen: MITRE ATT&CK G0016, Microsofts Darstellung der Midnight-Blizzard-Kompromittierung, SUNBURST-Schadsoftware (S0559). Folgen Sie den Referenzen, bevor Sie eine Behauptung weiterverbreiten.

So untersuchen Sie APT29-Aktivitäten

1. Normalisieren und defangen Sie alle verdächtigen Adressen, Domains und Hashes mit dem Tool IOC-Lookup.
2. Verifizieren Sie Datei-Hashes mit dem Hash-Checker.
3. Validieren Sie Domains und Mail-Infrastruktur mit dem DNS-Lookup.
4. Befolgen Sie den strukturierten Arbeitsablauf in So untersuchen Sie einen Bedrohungsakteur.
5. Korrelieren Sie Signale aus Ihrem Identitätsanbieter und den Mail-Logs – zwei unabhängige Treffer ergeben einen Fall; ein Treffer ist eine Spur.

Erkennung und Gegenmaßnahmen

• Setzen Sie phishing-resistente MFA (FIDO2/WebAuthn) durch und behandeln Sie SMS-MFA als schwach.
• Überwachen und beschränken Sie Legacy-Authentifizierungsprotokolle (POP/IMAP/SMTP-Basisauth).
• Suchen Sie nach Token-Replay, ungewöhnlichen Geräteregistrierungen und anomale Anmelde-Geografien.
• Prüfen Sie Exchange-Online-Postfachweiterleitungen und Zustimmungsgewährungen für Anwendungen.
• Befolgen Sie bei Verdacht auf eine Kompromittierung die Anweisungen des Anbieters; führen Sie vor der Beweissicherung niemals eigene Sanierungsmaßnahmen durch.

Nächste Schritte

• Halten Sie Belege und Befund in einer Untersuchung fest.
• Aktualisieren Sie Ihre IOC-Liste und Erkennungsregeln; überprüfen Sie die Aktualität regelmäßig.
• Melden Sie bestätigte Erkenntnisse über Ihre Incident-Response- und Offenlegungskanäle.