Der aktuelle APT-Report von Trend Micro zeigt eine tiefgreifende Transformation staatlich unterstützter Cyberangriffe: Arbeitsteilung zwischen Hackergruppen, KI-gestützte Malware und neue Angriffspfade über Edge-Systeme und Lieferketten erhöhen Geschwindigkeit und Komplexität massiv. Für Unternehmen und kritische Infrastrukturen verschärft sich damit die Bedrohungslage deutlich – Angriffe erfolgen koordinierter, schwerer zu erkennen und zunehmend auf „Maschinengeschwindigkeit“.
Foto: TrendAI
Feike Hacquebord, Principal Threat Researcher bei TrendAI.
Foto: TrendAI
Staatlich unterstützte Hackergruppen verändern ihre Vorgehensweise grundlegend. Laut aktuellem Jahresbericht von Trend Micro und dessen Cybersecurity-Sparte TrendAI professionalisieren Angreifer ihre Strukturen und setzen verstärkt auf Arbeitsteilung, Automatisierung und neue Angriffspfade. Die Analyse „Nation-Aligned APTs in 2025“ (Advanced Persistent Threats) beschreibt eine Entwicklung hin zu stärker industrialisierten Cyberoperationen, die Unternehmen und Behörden vor neue Herausforderungen stellt.
Premier Pass-as-a-Service - TrendAI beobachtet erstmals systematisch ein Modell, bei dem APT-Gruppen Zugänge zu kompromittierten Netzwerken wie einen „Priority Pass” untereinander weitergeben. Eine spezialisierte Gruppe verschafft sich initialen Zugang, andere übernehmen anschließend Spionage, Datendiebstahl oder Sabotage, ohne den Einbruch selbst durchführen zu müssen. Diese Arbeitsteilung beschleunigt Angriffe erheblich und erschwert die Zuordnung zu einzelnen Akteuren. So wurden etwa die China-verbundenen Gruppen Earth Estries (auch bekannt als Salt Typhoon) und Earth Naga in denselben Netzwerksitzungen aktiv, was ein klarer Hinweis auf koordinierte Zusammenarbeit ist.
Ein weiterer Schwerpunkt liegt auf dem Einsatz künstlicher Intelligenz in Angriffsszenarien. Der Bericht dokumentiert erstmals den praktischen Einsatz großer Sprachmodelle in aktiver Malware. Die russlandnahe Gruppe Pawn Storm (APT28) nutzte demnach die Malware „LAMEHUG“, die Befehle dynamisch generieren kann.
Darüber hinaus setzen verschiedene Gruppen KI für automatisierte Aufklärung und Zielidentifikation ein. Die Entwicklung geht laut Analyse in Richtung autonomer Systeme, die Angriffe weitgehend selbstständig steuern und in Echtzeit auf Verteidigungsmaßnahmen reagieren können.
Feike Hacquebord, Principal Threat Researcher bei TrendAI, erklärt:
„Staatlich unterstützte Cyberaktivitäten werden zunehmend industrialisiert. Bedrohungsgruppen spezialisieren sich auf einzelne Phasen der Angriffskette und teilen anschließend den Zugang zu kompromittierten Netzwerken, sodass andere Akteure direkt mit Spionage oder Sabotage beginnen können. Wird dieses Modell zusätzlich mit KI-gestützter Aufklärung und der automatisierten Suche nach Schwachstellen kombiniert, verkürzt sich die Zeit für die Durchführung komplexer Kampagnen drastisch.“
TrendAI geht davon aus, dass sich diese Entwicklung in den kommenden zwei Jahren weiter beschleunigt und zu einem Wettbewerb um Resilienz auf „Maschinengeschwindigkeit“ führt.
Neben neuen Kooperations- und Automatisierungsmodellen rücken auch die genutzten Angriffsvektoren stärker in den Fokus. Laut Bericht erfolgt der Zugang zu Netzwerken zunehmend über Edge-Infrastrukturen sowie über Schwachstellen in Lieferketten und Entwickler-Ökosystemen.
Ein Beispiel sind gefälschte Jobangebote, die von der nordkoreanischen Gruppe Void Dokkaebi eingesetzt werden, um Zugriff auf Entwicklungsumgebungen zu erhalten. In einem dokumentierten Fall versuchten Angreifer, den Server eines taiwanesischen Softwareanbieters zu kompromittieren, um diesen als Verteilpunkt für Malware innerhalb einer gesamten Hightech-Lieferkette zu nutzen.
Diese Strategie ermöglicht eine langfristige und schwer erkennbare Persistenz innerhalb komplexer IT- und OT-Umgebungen.
Der Bericht zeigt zudem eine zunehmende Verzahnung von Cyberangriffen mit geopolitischen und militärischen Ereignissen. Cyberoperationen begleiten demnach gezielt physische Konflikte und diplomatische Prozesse. Beobachtet wurden unter anderem Angriffe auf Logistik- und Infrastrukturnetze im Zusammenhang mit der Unterstützung der Ukraine sowie Sabotagekampagnen gegen Energie- und Verkehrssysteme. Parallel dazu liefen Spionageaktivitäten synchron zu diplomatischen Verhandlungen. Auch koordinierte Cyber- und Aufklärungsmaßnahmen, etwa durch nordkoreanische Akteure, wurden dokumentiert. Diese Entwicklung verdeutlicht, dass Cyberraum und physische Konfliktführung zunehmend miteinander verschmelzen.
Die Analyse zeigt, dass insbesondere Regierungsbehörden und Technologieunternehmen im Fokus staatlich unterstützter Angriffe stehen. Darüber hinaus geraten kritische Infrastrukturen wie Energie-, Transport- und Logistiksysteme verstärkt ins Visier. Auch Fertigungsunternehmen sowie Finanzdienstleister zählen zu den häufig betroffenen Sektoren. Ausschlaggebend sind dabei vor allem die strategische Bedeutung dieser Branchen, ihre Rolle innerhalb globaler Lieferketten sowie der Zugang zu sensiblen Daten und Schlüsseltechnologien.
Vor dem Hintergrund der beschriebenen Entwicklungen empfiehlt TrendAI, APT-Szenarien stärker in bestehende Sicherheitsstrategien zu integrieren. Dazu gehört insbesondere die Einbindung von Supply-Chain-Risikomanagement sowie die kontinuierliche Überprüfung von Zulieferern und Dienstleistern. Unternehmen sollten zudem ihre Fähigkeiten zur schnellen Erkennung und Eindämmung von Angriffen ausbauen, insbesondere im Hinblick auf KI-beschleunigte Bedrohungen. Ein intensiverer Informationsaustausch mit Behörden und Branchenpartnern kann dazu beitragen, Angriffsmuster frühzeitig zu erkennen. Ergänzend wird der Einsatz von KI-gestützten Verteidigungsansätzen empfohlen, um autonome Bedrohungen besser antizipieren zu können. Regelmäßige Incident-Response-Übungen und Red-Team-Tests, die realistische APT-Szenarien einbeziehen, sollen die Reaktionsfähigkeit im Ernstfall verbessern.
Der vollständige englischsprache Bericht Nation-Aligned APTs in 2025: AI-Fueled Threats and the Shifting Global Cyber Balance steht auf der Trend Micro Site zum Download zur Verfügung.
