Cloud
APTs setzen Vertrauen als Waffe ein
Der Bericht zu den staatlich gesteuerten APTs im 1. Halbjahr 2026 zeigt die geopolitischen Hintergründe und deckt auf, wie Angreifer KI in jede Phase der Angriffskette integrieren und ihre Infrastruktur dabei in vertrauenswürdigen Diensten verstecken.
Save to Folio
Der APT-Lagebericht von Trend Micro für das erste Halbjahr 2026 zeigt, dass die staatlich unterstützten Akteure ihre Vorgehensweisen weiter verfeinert haben. Dieser Report fasst Forschung und Beobachtungen aus der Praxis zusammen, die sich auf Aktivitäten mit Verbindungen zu China, Russland, der Demokratischen Volksrepublik Korea (DVRK) und dem Iran beziehen. Zudem wird aufgezeigt, wie der politische Hintergrund in den jeweiligen Regionen weiterhin die Zielauswahl und die Vorgehensweisen dieser Akteure prägt.
- Mit China („Staatsnahe Scaler“) in Verbindung stehende Bedrohungsakteure nutzten generative KI, um Exploits zu verfeinern und Malware iterativ per Vibe Coding weiterzuentwickeln. Ein KI-Agent führte dabei eigenständig Aufklärung und laterale Bewegung innerhalb eines Zielnetzwerks durch.
- Die Russland („Hardware-gebundener Militarisierer“) zugeordnete Gruppe Pawn Storm startete das Jahr mit einer Zero-Day-Schwachstelle in MS Office und setzte die Ukraine sowie deren Partner in den Bereichen Regierung, Verteidigung und humanitärer Hilfe weiter unter Druck.
- Nordkorea-nahe Akteure („Durch Diebstahl finanzierter Aufstieg“) integrierten kommerzielle KI-Tools in ihre Operationen und kompromittierten ein weit verbreitetes Softwarepaket, um nachgelagerte Entwickler zu erreichen.
- Die mit dem Iran („Off-the-shelf-Eskalator“) in Verbindung stehende Gruppe Earth Vetala scannte innerhalb weniger Tage nach Bekanntwerden gezielt nach einer neu offengelegten Ivanti-Schwachstelle. Weitere Iran-nahe Akteure führten manuelle Angriffe auf OT-Systeme (Operational Technology) durch, die aus dem Internet erreichbar sind. Dabei manipulierten sie Füllstandsanzeigen von Kraftstofftanks an Standorten in den USA.
Einzelheiten zu den jeweiligen Staaten finden Sie im Bericht.
Fünf Erkenntnisse
KI kommt mittlerweile in immer mehr Phasen des Angriffszyklus zum Einsatz. – von der Optimierung von Exploit-Code bis hin zur Durchführung autonomer Erkundung und lateraler Bewegung. Mit China verbündete Gruppen nutzten generative KI, um Exploits zu verfeinern und Malware durch iteratives „Vibe-Coding“ zu entwickeln. In einem Fall führte ein KI-Agent eigene Erkundungsmaßnahmen und laterale Bewegungen durch. Mit Russland sowie mit der Demokratischen Volksrepublik Korea verbündete Akteure wiederum setzten auch kommerzielle KI ein. Auch wenn sich diese Akteure noch in einer explorativen Phase befinden, deutet dieser Trend auf eine erhebliche Senkung der Eintrittsbarriere für ausgefeilte Angriffsfähigkeiten hin.
Bekannte und Zero-Day-Schwachstellen wurden rasch als Angriffsmittel genutzt, und die Software-Lieferkette blieb ein bevorzugter Einfallspunkt. Die mit Russland verbündete Gruppe „Pawn Storm“ eröffnete die erste Hälfte des Jahres 2026 mit einem Zero-Day-Exploit für Office. „Earth Dahu“ nutzte unterdessen monatelang eine ungepatchte WinRAR-Sicherheitslücke aus, da sich das Tool nicht selbst aktualisiert. Die mit dem Iran verbündete Gruppe „Earth Vetala“ suchte bereits innerhalb weniger Tage nach der Offenlegung nach einer neuen Ivanti-Sicherheitslücke, während mit der DVRK verbündete Akteure ein weit verbreitetes Softwarepaket manipulierten, um nachgelagerte Entwickler zu erreichen.
Steuerung und Werkzeuge basieren zunehmend auf vertrauenswürdiger und gemeinsam genutzter Infrastruktur. Die Angreifer verlegten ihre Command-and-Control-Systeme (C&C) zunehmend auf Dienste, denen Unternehmen bereits vertrauen, wie große Cloud-Plattformen, Entwickler-Tunnel, öffentliche Blockchains und Paste-Seiten, wodurch sich der bösartige Datenverkehr in normale Geschäftsaktivitäten einfügen und einer Sperrung entziehen konnte. Viele Akteure mieten mittlerweile Malware als Dienstleistung (MaaS) oder teilen sich Werkzeuge, was verschleiert, wer hinter einem Einbruch steckt. Indem sie bösartigen Datenverkehr über vertrauenswürdige, weit verbreitete Dienste leiten, machen es Angreifer den Verteidigern extrem schwer, bösartige Aktivitäten vom normalen Geschäftsverkehr zu unterscheiden.
Mehrstufiges Phishing mit Köderdokumenten und Social-Engineering-Köder. Spear-Phishing blieb in der ersten Hälfte dieses Jahres ein führender Erstzugangsvektor und setzte damit den Trend aus der zweiten Hälfte 2025 fort. Die Angreifer haben die Qualität ihrer Köder erheblich verbessert. Die Kampagnen umfassten mehrstufige Mail-Konversationen zum Aufbau von Vertrauen, geopolitisch relevante Köderdokumente, gefälschte Software-Update-Programme sowie Watering-Hole-Angriffe mit gefälschten Browser-Zertifikatsfehlerseiten – allesamt darauf ausgelegt, das Misstrauen der Opfer zu verringern und die Klickraten zu erhöhen.
Zudem konnten wir beobachten, dass BYOVD (Bring Your Own Vulnerable Driver) als dedizierte Rootkit-Komponente eingesetzt wurde. Dies führte zu einer erheblichen Steigerung der Raffinesse der Umgehungsfähigkeiten.
Kritische Infrastrukturen und Ziele in der physischen Welt rückten ebenfalls wieder in den Fokus. Dem Iran zugewandte griffen mit dem Internet verbundene Betriebstechnologie an und manipulierten Kraftstofftank-Anzeigen an Standorten in den USA. Unterdessen richteten mit Russland verbündete Kampagnen Druck gegen die Ukraine und ihre Partner in den Bereichen Regierung, Verteidigung und Kriegshilfe aus. Sich als Werbekunden ausgebende Akteure nutzten Advertising Intelligence (ADINT), um malware-frei Standort- und Gerätedaten aus Online-Werbeauktionen zu sammeln und so Personen über die von ihnen genutzten Apps zu verfolgen.
Der politische Hintergrund dieser Kampagnen ist eher dauerhaft als vorübergehend. Der Krieg in der Ukraine hat sich zu einem langen Zermürbungskrieg entwickelt, während Russland im Vorfeld seiner Parlamentswahlen im September die Informationskontrolle verschärft. Unterdessen scheint sich die DVRK als dauerhafter, atomar bewaffneter Staat zu etablieren, der durch Cyberdiebstahl finanziert wird. China bewältigt seine Rivalität mit den USA und treibt gleichzeitig die Selbstversorgung bei Chips und KI voran, während mit dem Iran verbündete Operationen im Zuge regionaler Spannungen eskalieren.
Es ist nicht zu erwarten, dass sich einer dieser Trends bis zum Jahresende umkehrt. Das bedeutet, dass die darauf aufbauenden Kampagnen – wie KI-gestützte Exploits, der Missbrauch vertrauenswürdiger Infrastrukturen sowie gemietete oder gemeinsam genutzte Tools – wahrscheinlich fortbestehen und sich weiterentwickeln werden.
Vorrangige Maßnahmen gegen APTs
- Verlagern Sie die Erkennung auf das Verhalten von Identitäten, Clouds und Endpunkten, da sich C&C zunehmend in vertrauenswürdigen Cloud-Plattformen, Entwicklertunneln und Blockchains versteckt. Verantwortlich: Sicherheitsoperations- und Identitätsteams.
- Behandeln Sie die Software-Lieferkette und die Entwickler als Teil der Angriffsfläche. Ermitteln und überprüfen Sie Abhängigkeiten und überwachen Sie Skripts zur Installationszeit. Verantwortlich: Governance und Security Operations.
- Verkürzen Sie das Patch- und Expositionsfenster bei Edge- und nicht verwalteter Software, insbesondere bei Tools, die sich nicht automatisch aktualisieren. Verantwortlich: Risikomanagement.
- Entfernen Sie Betriebstechnologie (OT) und Geräte kritischer Infrastrukturen aus dem öffentlichen Internet und segmentieren und überwachen Sie Kontrollnetzwerke. Verantwortlich: Risikomanagement und Security Operations.
- Planen Sie für KI-gestützte Angreifer, einschließlich KI-Tools, die sich bereits in der Umgebung befinden, wie z. B. Programmierassistenten und Agent-Frameworks. Verantwortlich: Sicherheitsbetrieb und Governance.
Verschaffen Sie sich einen umfassenden Überblick
Der APT-Bericht für das erste Halbjahr 2026 enthält vollständige Kampagnenberichte, technische Indikatoren und regionenspezifische Analysen zu China, Nordkorea, Russland und dem Iran.