FrostArmada: APT28-DNS-Hijacking-Kampagne trifft 18.000 Geraete in 120 Laendern

AEGIDA THREAT BRIEFING — 17. April 2026 — TLP:WHITE

Klassifizierung: TLP:WHITE — Unbeschraenkte Verteilung. Dieses Dokument darf frei weitergegeben werden. Primaerquellen: Black Lotus Labs / Lumen Technologies Analyse, Microsoft Threat Intelligence Advisory, FBI/DOJ-Pressemitteilungen, CERT-PL-Telemetrie. Analyse und Korrelation: AEGIDA Research Team.

KEY JUDGMENTS

• KJ-1: APT28 (Forest Blizzard / Storm-2754 / Fancy Bear), GRU-Einheit 26165, fuehrte zwischen Mai 2025 und April 2026 eine systematische DNS-Hijacking-Kampagne auf Consumer- und SMB-Routern durch, von Black Lotus Labs als FrostArmada bezeichnet, mit einem Hoechststand von 18.000 kompromittierten Geraeten in 120 Laendern im Dezember 2025. (HOHE KONFIDENZ)
• KJ-2: Das primaere Ziel war die massenhafte Erfassung von Microsoft-365-Anmeldedaten und OAuth-Tokens ueber Adversary-in-the-Middle (AitM)-Proxys, mit spezifischer Ausrichtung auf Regierungsbehoerden, Strafverfolgung, IT-/Hosting-Unternehmen und mindestens eine europaeische nationale Identitaetsplattform. (HOHE KONFIDENZ)
• KJ-3: Die Kampagne operierte mit zwei funktional getrennten Teams — einem "Expansion Team" fuer das Botnet-Wachstum und einem "AitM Team" fuer die Credential-Erfassung — was auf operative Reife und interne Kompartimentierung hindeutet. (MODERATE KONFIDENZ)
• KJ-4: Die Disruption-Operation vom 7. April 2026 neutralisierte die C2-Infrastruktur, beseitigt jedoch nicht das Restrisiko auf Geraeten, deren DNS-Einstellungen nicht wiederhergestellt oder deren Firmware weiterhin verwundbar ist. (HOHE KONFIDENZ)

ASSESSMENT 1 — Anatomie der FrostArmada-Kampagne

1.1 Akteur und operativer Kontext

APT28 ist die westliche Bezeichnung fuer die Einheit 26165 der Hauptverwaltung des Generalstabs der Streitkraefte der Russischen Foederation (GRU). Seit mindestens 2004 aktiv, ist die Einheit verantwortlich fuer einige der folgenreichsten Cyberoperationen der letzten zwei Jahrzehnte. FrostArmada stellt eine bedeutende taktische Evolution gegenueber traditionellen APT28-Operationen dar: Statt Endopfer direkt anzugreifen, kompromittierte die Gruppe die zwischengeschaltete Netzwerkinfrastruktur — Router — um sich als unsichtbarer Vermittler im DNS-Verkehr Tausender Organisationen gleichzeitig zu positionieren.

1.2 Operativer Zeitverlauf

1. 1.Mai 2025 — Erste dokumentierte Kompromittierungen von MikroTik- und TP-Link-Routern. Das Expansion Team beginnt mit dem Aufbau des Botnets.
2. 2.Juni-September 2025 — Stetige Botnet-Expansion. Kompromittierte Geraete werden konfiguriert, um DNS-Parameter ueber DHCP zu modifizieren.
3. 3.Oktober 2025 — Nethesis-Router und aeltere Fortinet-Geraete werden integriert. Das AitM-Team beginnt mit begrenzter Credential-Erfassung.
4. 4.Dezember 2025 — Kampagnenhoehepunkt: 18.000 kompromittierte Geraete in 120 Laendern. Microsoft identifiziert 200+ Organisationen und 5.000+ Consumer-Geraete.
5. 5.Januar-Maerz 2026 — Kampagne laeuft mit stabiler Intensitaet weiter.
6. 6.April 7, 2026 — Gemeinsame Disruption-Operation. FBI erhaelt gerichtliche Genehmigung zum Zuruecksetzen boeswilliger DNS-Konfigurationen.

1.3 Angriffskette

Phase 1 — Router-Kompromittierung: Das Expansion Team identifiziert internetexponierte Router mit zugaenglichen Management-Schnittstellen. Zugang erfolgt ueber unveraenderte Standardanmeldedaten, bekannte Schwachstellen oder Brute-Force-Angriffe. Das Team modifiziert die DNS-Server im DHCP und gegebenenfalls Firewall-Regeln zur Persistenzsicherung.

Phase 2 — Stilles DNS-Hijacking: Jedes Geraet im lokalen Netzwerk erhaelt ueber DHCP einen boeswilligen DNS-Server. Dieser beantwortet die meisten Anfragen korrekt, faengt jedoch selektiv Anfragen fuer Microsoft-365-Authentifizierungsendpunkte ab und leitet sie an einen AitM-Proxy weiter.

Phase 3 — AitM-Proxy: Der Proxy terminiert die TLS-Verbindung des Benutzers und oeffnet eine neue zum legitimen Microsoft-Server. Der Benutzer sieht die authentische Login-Seite, gibt Anmeldedaten ein und durchlaeuft MFA. Der Proxy zeichnet alles auf. Das einzige sichtbare Signal ist eine TLS-Zertifikatswarnung des Browsers.

Phase 4 — Credential-Auswertung: Gestohlene OAuth-Tokens und Anmeldedaten werden fuer den Zugriff auf E-Mail-Postfaecher, SharePoint-Dokumente und Teams-Konversationen der Opfer genutzt.

ASSESSMENT 2 — Infrastruktur und Kompartimentierung

Die operative Architektur von FrostArmada zeigt eine interne Kompartimentierung, die selbst fuer APT28-Verhaeltnisse ungewoehnlich ist. Black Lotus Labs identifizierte zwei funktional getrennte Aktivitaetscluster mit separater Infrastruktur. Das Expansion Team verwaltete das Botnet-Wachstum mit hoher Automatisierung. Das AitM-Team verwaltete die Proxy-Infrastruktur selektiver — nicht alle Domaenen wurden umgeleitet, nicht alle Botnet-Router wurden gleichzeitig fuer AitM-Umleitungen konfiguriert.

2.1 Identifizierte VPS-Infrastruktur

• 64.120.31.96 — C2-Server (Expansion Team)
• 79.141.160.78 — Primaerer AitM-Proxy
• 23.106.120.119 — MikroTik-Payload-Verteilung
• 79.141.173.211 — Sekundaerer AitM-Proxy
• 185.117.89.32 — Primaerer boeswilliger DNS
• 185.237.166.55 — Sekundaerer boeswilliger DNS

ASSESSMENT 3 — Disruption-Operation vom 7. April 2026

Am 7. April 2026 gab das US-Justizministerium die Zerschlagung der FrostArmada-Infrastruktur durch eine gemeinsame Operation bekannt, an der FBI, DOJ, die polnische Regierung, Microsoft und Lumen Technologies beteiligt waren. Die Operation wurde auf Grundlage einer gerichtlichen Genehmigung durchgefuehrt: Ein US-Bundesgericht autorisierte das FBI, kompromittierte Router ferngesteuert auf Standard-DNS-Einstellungen zurueckzusetzen.

Was die Disruption erreicht hat und was nicht: Sie neutralisierte die sechs identifizierten VPS-Server und setzte DNS-Konfigurationen auf einem Teil der erreichbaren Router zurueck. Sie hat weder verwundbare Firmware gepatcht, noch schwache Passwoerter geaendert, noch eventuell installierte Hintertrueren beseitigt, noch bereits gestohlene OAuth-Tokens widerrufen. Die Router, die vor der Disruption verwundbar waren, bleiben es danach. Der einzige dauerhafte Schutz ist Firmware-Aktualisierung, Credential-Aenderung und Konfigurations-Haertung durch den Geraetebesitzer.

ASSESSMENT 4 — Korrelation mit der PRISMEX-Kampagne

Am 10. April 2026 veroeffentlichte AEGIDA eine detaillierte Analyse der PRISMEX-Kampagne, einer weiteren APT28-Operation im selben Zeitraum mit Fokus auf NATO-Infrastrukturen und ukrainische Ziele. FrostArmada und PRISMEX teilen den Akteur, unterscheiden sich aber taktisch grundlegend. PRISMEX ist eine chirurgische Operation gegen spezifische hochwertige Ziele. FrostArmada ist eine Schleppnetzoperation, die Targeting-Praezision zugunsten der Sammlungsskala opfert. Gemeinsam zeichnen die beiden Kampagnen ein operatives Bild, in dem APT28 gleichzeitig in die Tiefe (PRISMEX) und in die Breite (FrostArmada) angreift.

OUTLOOK

• APT28 wird die Botnet-Infrastruktur innerhalb von 60-90 Tagen wieder aufbauen, da der Pool verwundbarer Geraete durch die Disruption nicht verkleinert wurde.
• Vor der Disruption gestohlene OAuth-Tokens bleiben potenziell gueltig und fuer persistenten Zugang nutzbar.
• Die Technik des DNS-Hijacking ueber kompromittierte Router wird von anderen staatlichen und kriminellen Akteuren uebernommen werden.
• Die Aufmerksamkeit fuer Home- und SMB-Router als Kompromittierungsvektor wird steigen, aber die Patching-Geschwindigkeit des Netzwerkgeraete-Oekosystems bleibt strukturell langsam.

INDICATORS OF COMPROMISE

IP-Adressen — C2 und AitM-Proxys (Hohe Konfidenz)

• 64.120.31.96 — C2-Server (Expansion Team)
• 79.141.160.78 — Primaerer AitM-Proxy
• 23.106.120.119 — MikroTik-Payload-Verteilung
• 79.141.173.211 — Sekundaerer AitM-Proxy
• 185.117.89.32 — Primaerer boeswilliger DNS
• 185.237.166.55 — Sekundaerer boeswilliger DNS

Verhaltensindikatoren (Moderate Konfidenz)

• Unbefugte Aenderung der DNS-Parameter im DHCP-Server des Routers.
• DNS-Abfragen zu den sechs aufgelisteten IPs von internen Netzwerkgeraeten.
• TLS-Warnungen fuer ungueltige Zertifikate auf Microsoft-365-Domaenen.
• Microsoft-365-Anmeldungen von IPs, die nicht mit der ueblichen Geolokalisierung des Benutzers korrelieren.
• Ausgehende Verbindungen vom Router-Management-Port (8291/tcp, 443/tcp) zu unbekannten IPs.
• Firewall-Regeln auf dem Router, die den Zugang zu Firmware-Update-Servern des Herstellers blockieren.

RECOMMENDED ACTIONS

1. 1.Sofortige DNS-Ueberpruefung: Zugriff auf die Verwaltungsoberflaeche jedes MikroTik-, TP-Link-, Nethesis- und Fortinet-Routers. DNS-Server im DHCP-Server gegen die sechs boeswilligen IPs abgleichen.
2. 2.Wiederherstellung und Haertung kompromittierter Router: Factory Reset, Firmware-Update, Neukonfiguration mit starken Anmeldedaten (mindestens 16 Zeichen), Management-Schnittstellen auf WAN-Ports deaktivieren.
3. 3.Microsoft-365-Credential-Widerruf: Passwortzuruecksetzung und Widerruf aller aktiven OAuth-Tokens fuer betroffene Benutzer ueber das Azure-AD-Portal erzwingen.
4. 4.IoC-Aufnahme in Ueberwachungssysteme: Die sechs IPs in Firewall-Blocklisten, SIEM-Regeln und EDR-Feeds laden.
5. 5.Firmware-Management-Richtlinie: Mindestens vierteljaehrlichen Firmware-Ueberpruefungs- und Aktualisierungszyklus implementieren.
6. 6.Benutzerschulung zu TLS-Warnungen: Personal ueber die Bedeutung von Browser-Zertifikatswarnungen aufklaeren.
7. 7.DNS-Segmentierung: Clients fuer DNS over HTTPS (DoH) oder DNS over TLS (DoT) konfigurieren, um Router-DNS zu umgehen.

Methodische Anmerkung und Quellen