Ghostwriter (Cyberthreat)

Als Ghostwriter wird eine Gruppe von Crackern genannt, welche sich in News-Webseiten hacken, um Falschinformation auf diesen Seiten zu verbreiten. Der Name „Ghostwriter“ stammt von der US-amerikanischen Sicherheitsfirma Fireeye, die die Gruppe so bezeichnete.[1]

Die aus Russland stammende Gruppe ist etwa seit 2017 in den baltischen Staaten und in Polen aktiv. Im Baltikum hat „Ghostwriter“ vor allem Falschnachrichten auf gehackten Nachrichtenseiten und Blogs über die NATO verbreitet. Beispielsweise, dass Bundeswehrsoldaten in der litauischen Stadt Kaunas einen jüdischen Friedhof geschändet hätten und ein litauisches Kind von einem Panzer der NATO überfahren worden sei.[1][2]

Im Januar 2021 übernahmen Hacker der „Ghostwriter“-Gruppe unter anderem den Twitter-Account des Vize-Fraktionschefs der regierenden rechtskonservativen PiS-Partei, Marek Suski, veröffentlichten darauf Selfies einer Lokalpolitikerin – in roten Dessous und twitterten in Suskis Namen, die Lokalpolitikerin solle aufhören, ihn sexuell zu belästigen und ihm intime Fotos zu schicken.[2]

Daneben erhielten im März 2021 sieben Bundestagsabgeordnete und mehr als 70 Landtagsabgeordnete Phishing-Mails, hinter denen das Bundesamt für Sicherheit in der Informationstechnik die Ghostwriter vermutete.[2][3] Es folgten jedoch keine Attacken aus dieser Phishing-Aktion.[4] Deutsche Sicherheitsbehörden vermuten, dass Ghostwriter im Auftrag des russischen Militärgeheimdienstes GRU agiert.[2]

Im September 2021 veröffentlichte der Rat der Europäischen Union eine Erklärung, in der es Russland für Cyberangriffe auf politische und zivilgesellschaftliche Funktionäre in der Europäischen Union verantwortlich macht, und Russland dazu aufruft, jene Aktivitäten, die sie den Ghostwritern zuschreibt, zu beenden.[5]

Über die Herkunft konnte bis jetzt nur spekuliert werden. Während einige Analysen zum Schluss kamen, dass die Gruppe aus Russland stammt, vermutet der IT-Dienstleister Mandiant, dass die Gruppe aus Belarus stamme. Dafür spreche, dass die Angriffsmethode bis jetzt keine übereinstimmende Muster mit anderen Crackinggruppen habe. Außerdem wurden in der technischen Analyse Hinweise gefunden, die die Gruppe mit dem belarussischen Militär in Verbindung bringen. Ein weiterer Hinweis für die Herkunft ist, dass die Angriffe den Zielen der Minsker Führung dienlich sind. Denn unter anderem wurde schon die belarussische Opposition Opfer einer Attacke von Ghostwriter.[4]

Weiter gibt es auch Berichte, in denen vermutet wird, dass die sich Cracking-Gruppe UNC1151 mit Ghostwriter an Attacken beteiligt.[6]