Eine international abgestimmte Sicherheitswarnung rückt eine seit über zehn Jahren andauernde Bedrohung erneut in den Fokus. Cyberakteure des russischen Inlandsgeheimdienstes FSB, genauer dessen Center 16, kompromittieren demnach weltweit schlecht konfigurierte und verwundbare Netzwerkgeräte, vor allem Router. Die Angriffe erfolgen opportunistisch und treffen Unternehmen aus mehreren kritischen Sektoren gleichzeitig.

Herausgegeben wurde das Dokument von zwanzig Behörden, darunter die US-Institutionen CISA, NSA, FBI und DC3 sowie Partnerorganisationen aus Australien, Kanada, Neuseeland, Großbritannien, Tschechien, Dänemark, Estland, Finnland, Frankreich, Italien, Polen und Schweden. Die Warnung baut auf einer früheren FBI-Meldung vom August 2025 auf und liefert zusätzliche technische Details zur Vorgehensweise der Angreifer.

Wie die Hacker vorgehen

Im Zentrum der Angriffe steht das Protokoll SNMP, mit dem Netzwerkgeräte aus der Ferne verwaltet werden. Die FSB-Akteure durchsuchen systematisch IP-Bereiche nach Geräten, die noch mit unsicheren Standard-Passwörtern beziehungsweise sogenannten Community-Strings arbeiten. Diese Scans laufen über Proxy-Server und gefälschte IP-Adressen, um die tatsächliche Herkunft zu verschleiern.

Gelingt der Zugriff, weisen die Angreifer das Gerät per SNMP-Befehl an, seine eigene Konfigurationsdatei zu kopieren – häufig unter Namen wie "config.bkp" oder "output.txt". Anschließend wird die Datei per TFTP an einen von den Hackern gemieteten virtuellen Server oder einen bereits kompromittierten FTP-Server übertragen. Aus den erbeuteten Konfigurationen lassen sich oft weitere Zugangsdaten auslesen.

Neben dem SNMP-Scanning nutzen die Angreifer gelegentlich auch bekannte Sicherheitslücken in Cisco-Geräten sowie die Cisco-Funktion Smart Install aus, etwa die Schwachstelle CVE-2018-0171. Die Behörden weisen zudem darauf hin, dass sich die eingesetzten Taktiken mit denen anderer Angreifergruppen wie "Salt Typhoon" überschneiden.

Betroffene Branchen

Besonders im Visier stehen laut Advisory die Sektoren Kommunikation, Rüstungsindustrie, Energie, Finanzdienstleistungen, Behörden auf Landes- und Kommunalebene sowie das Gesundheitswesen. Die Auswahl der Ziele wirkt dabei eher opportunistisch als strategisch geplant, betroffen ist letztlich, wer verwundbare Geräte betreibt.

In der Cybersicherheitsbranche ist die Aktivität unter verschiedenen Namen bekannt, etwa Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard oder Static Tundra. Die Behörden betonen jedoch, dass diese Bezeichnungen nicht immer eins zu eins der eigenen Zuordnung entsprechen, da unterschiedliche Sicherheitsfirmen eigene Tracking-Methoden verwenden.

Empfohlene Schutzmaßnahmen

Als wichtigste Sofortmaßnahme nennt die Warnung die Deaktivierung von Cisco Smart Install sowie die Umstellung auf SNMPv3 mit starker Verschlüsselung. Die veralteten, unverschlüsselten Vorgängerversionen SNMPv1 und SNMPv2 sollten möglichst komplett abgeschaltet werden. Ergänzend raten die Experten zu individuellen, sicher gespeicherten Passwörtern und zur Überwachung ungewöhnlicher Anmeldungen über lokale Konten.

Zusätzlich empfehlen die Behörden, den Zugriff auf SNMP-Objekte über Positivlisten einzuschränken und Managementprotokolle nur von dedizierten Verwaltungsgeräten aus zuzulassen. An der Firewall sollten Ports wie TFTP, SNMP und Smart Install von außen komplett gesperrt werden, sofern sie nicht zwingend benötigt werden. Wer in den USA tätig ist, kann zudem kostenlose Angebote wie die CISA-Cyber-Hygiene-Services oder die DIB-Cybersicherheitsdienste der NSA nutzen, um gefährdete Systeme frühzeitig zu identifizieren.