EU-Sanktionen: Russischer FSB und Turla-Hacker im Visier
Veröffentlicht: 13.07.2026 um 15:54 Uhr, Redaktion boerse-global.de
Die Europäische Union hat neun Personen und vier Organisationen mit Verbindungen zum russischen Geheimdienst mit Sanktionen belegt. Grund ist eine jahrelange Kampagne von Cyber-Spionage und Sabotage gegen kritische Infrastruktur.
Die Maßnahmen richten sich gegen das 16. Zentrum des russischen Inlandsgeheimdienstes FSB sowie die Hackergruppe Turla. Seit 2010 sollen diese Akteure gezielt Regierungseinrichtungen, strategische Industrien und kritische Infrastruktur wie Heiz- und Kraftwerke ausspioniert haben. Die Sanktionen fallen mit der Aufdeckung mehrerer neuer Schadsoftware-Operationen zusammen, die derzeit akademische Forscher, die Fertigungsindustrie und Wasserversorger in Europa, Asien und Nordamerika angreifen.
Alte und neue Angriffe der Turla-Gruppe
Die Liste der nachgewiesenen Attacken ist lang. Bereits 2017 gelang es den Hackern, die E-Mail-Systeme des französischen Verteidigungsministeriums zu kompromittieren. Ein Jahr später folgte ein Angriff auf die französische Botschaft in Moskau. Erst 2025 sollen die Täter Industriespionage betrieben haben.
Großbritannien verhängte zeitgleich eigene Sanktionen gegen 24 Organisationen und Einzelpersonen. Frankreich zog zudem eine weitere diplomatische Konsequenz: Der russische Botschafter wurde einbestellt.
Operation Capsule Vault: Nordkoreanische Hacker im Visier
Die zunehmende Professionalität staatlich gelenkter Cyber-Angriffe zeigt, wie verwundbar die IT-Infrastruktur moderner Unternehmen geworden ist. In diesem kostenlosen E-Book erfahren Sie, wie Sie proaktiv Sicherheitslücken schließen und Ihre Firma vor aktuellen Bedrohungsszenarien schützen. IT-Sicherheit ohne teure Investitionen stärken
Parallel zu den EU-Sanktionen haben Cybersicherheitsforscher eine neue Kampagne namens Operation Capsule Vault aufgedeckt. Seit dem 22. Juni 2026 ist die mit Nordkorea in Verbindung gebrachte Gruppe APT37 aktiv. Die Hacker nutzen Materialien einer legitimen akademischen Konferenz aus Seoul, um ihre Opfer in eine Falle zu locken.
Die Angreifer verteilen manipulierte ISO-Dateien über Cloud-Dienste wie Dropbox. Diese enthalten PIF-Dateien mit doppelten Dateiendungen, die wie PDFs aussehen sollen. Wird die Datei geöffnet, schleust der Schadcode über eine Prozess-Injektion in den Windows-Explorer den RokRAT-Backdoor ein. Das Programm kann Dokumente stehlen, Screenshots anfertigen und ferngesteuerte Befehle ausführen. Die Kommando-Infrastruktur läuft über pCloud, Yandex Cloud und Dropbox.
Iranische Gruppen greifen US-Wasserversorger an
Iranische Hackergruppen haben ihren Fokus zunehmend auf störende Angriffe gegen kritische Infrastruktur in den USA verlegt. Am heutigen Montag bekannte sich die Gruppe Handala zu einem Cyberangriff auf die Abrechnungssysteme der California Water Service. Potenziell betroffen sind über 100.000 Einwohner in den Gebieten Chico und Hamilton City. Die Wasserversorgung selbst blieb zwar unbeeinträchtigt, die Täter stellten den Angriff jedoch als Vergeltungsmaßnahme dar.
Handala beanspruchte zudem einen Einbruch beim Medizintechnik-Unternehmen Stryker für sich. Berichten zufolge legten die Hacker Netzwerke lahm und löschten Daten von Zehntausenden Mitarbeiter-Geräten. Die kritischen medizinischen Produkte des Unternehmens blieben demnach verschont.
In einer separaten Operation wurde am 13. Juli die Schadsoftware CRESCENTHARVEST identifiziert. Sie zielt auf iranische Protestierende und Aktivisten in der Diaspora ab. Die Angreifer nutzen Protest-Themen als Köder, um Überwachungssoftware zu installieren, die Daten aus Telegram und Webbrowsern abgreift.
Besonders perfide sind Angriffe wie CEO-Fraud, bei denen Hacker psychologische Manipulation nutzen, um selbst erfahrene Mitarbeiter zu täuschen. Ein aktueller Gratis-Report analysiert diese Methoden und zeigt in vier Schritten, wie Sie eine effektive Hacker-Abwehr in Ihrem Betrieb aufbauen. Anti-Phishing-Paket für Unternehmen jetzt kostenlos herunterladen
Lieferketten-Angriffe und neue Datendiebe
Die Cybersicherheitslage wird zusätzlich durch eine Reihe von Angriffen auf Software-Lieferketten verschärft:
Jscrambler npm-Angriff: Zwischen dem 11. und 13. Juli 2026 wurden mehrere Versionen des Jscrambler npm-Pakets (8.14.0 bis 8.20.0) kompromittiert. Die manipulierten Pakete nutzten einen Preinstall-Hook, um Rust-basierte Schadsoftware zu installieren. Diese stiehlt Zugangsdaten für AWS, Azure und Google Cloud, Krypto-Wallet-Schlüssel und KI-Assistenten-Konfigurationen. Eine bereinigte Version 8.22.0 wurde inzwischen veröffentlicht.
SpyGlace in Japan: Die Gruppe APT-C-60 hat im Juli 2026 japanische Organisationen ins Visier genommen. Die Kampagne nutzt Proton Drive-Links, um RAR-Archive mit LNK-Dateien zu liefern. Diese installieren schließlich den SpyGlace-Downloader über JavaScript und auf GitHub gehostete Skripte.
BusySnake-Stealer: Der Bedrohungsakteur Armored Likho (auch bekannt als Eagle Werewolf) setzt einen neuen Python-basierten Datendieb namens BusySnake ein. Die Gruppe verwendet KI-generierte Lader und Spear-Phishing-Köder mit humanitären Hilfsthemen. Ziel sind Regierungsbehörden und der Energiesektor in Russland, Brasilien und Kasachstan.
Bereits am 8. Juli 2026 wurde zudem ein Lieferketten-Angriff auf das Injective Labs SDK gemeldet, der auf Krypto-Private-Keys abzielte. Sicherheitsbehörden haben dringende Warnungen zu trivial ausnutzbaren Schwachstellen in Kubernetes und Edge-Computing-Umgebungen herausgegeben. Unternehmen werden aufgefordert, ihre Systeme umgehend zu patchen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
