Russian state-sponsored espionage group Midnight Blizzard is behind a new spear-phishing campaign targeting diplomatic entities in Europe, including embassies.

Russian state-sponsored espionage group Midnight Blizzard is behind a new spear-phishing campaign targeting diplomatic entities in Europe, including embassies.

Check Point Research uncovers APT29 targeting European diplomatic entities with phishing attacks spreading malware Grapeloader

El grupo de espionaje cibernético Midnight Blizzard, también conocido como Cozy Bear o APT29, vinculado a los Servicios de Inteligencia Exterior de Rusia

Russian state-sponsored espionage group Midnight Blizzard is behind a new spear-phishing campaign targeting diplomatic entities in Europe, including embassies. [...]

APT29 deployed GRAPELOADER to target European diplomats in early 2025, enhancing stealth and persistence.

APT29 deployed GRAPELOADER to target European diplomats in early 2025, enhancing stealth and persistence.

Russia-linked group APT29 targeted diplomatic entities across Europe with a new malware loader codenamed GRAPELOADER.

Russian state-sponsored espionage group Midnight Blizzard is behind a new spear-phishing campaign targeting diplomatic entities in Europe, including embassies.

Russia-backed APT29's latest campaign once again uses malicious invites to wine-tasting events as its lure, but this time targets a different set of vintages — errr, victims — and delivers a novel backdoor, GrapeLoader.

Check Point Research uncovers APT29 targeting European diplomatic entities with phishing attacks spreading malware Grapeloader

Check Point Research uncovers APT29 targeting European diplomatic entities with phishing attacks spreading malware Grapeloader

Von Wein zu Trauben: Neue Wineloader-Variante Grapeloader entdeckt. Red Kalf Creatives – shutterstock Die russische Hackergruppe APT29, die auch als Cozy Bear bekannt ist und dem Auslandsgeheimdienst SVR zugeordnet wird, nimmt mit einer neuen Phishing-Kampagne diplomatische Einrichtungen in ganz Europa ins Visier. Die dafür eingesetzte Malware Grapeloader ein dient * der Systemanalyse, * der dauerhaften Infektion und * dem Nachladen weiterer Schadsoftware. Die Angriffe erfolgen über gefälschte Einladungen zu Weinverkostungen, wie das Cybersicherheitsunternehmen Check Point herausgefunden hat. APT29 zählt zu den technisch versiertesten staatlich unterstützten Gruppen und war unter anderem am SolarWinds-Hack 2020 beteiligt. In Deutschland erregte die Gruppe 2024 Aufsehen, als die Hacker Politiker der CDU zu einem fingierten Abendessen einluden. ## **Spionage mit manipulierter PowerPoint-Datei** Die Gruppe nutzt in ihrer aktuellen Kampagne weiterhin die Backdoor Wineloader, ersetzt jedoch den bisherigen JavaScript-Loader Rootsaw durch den neuen Malware-Dropper Grapeloader. Dieser wird über eine DLL-Side-Loading-Schwachstelle aktiviert. Die Angriffe erfolgen über Phishing-Mails mit einem Link zur Datei wine.zip, die eine manipulierte PowerPoint-Datei und zwei DLLs enthält – darunter ppcore.dll, die Grapeloader-Malware. Diese .dll * sorgt für Persistenz, * sammelt Systemdaten und * kommuniziert im 60-Sekunden-Takt mit einem C2-Server. ## **Phishing im Stil früherer Kampagnen** Die Experten von Check Point entdeckten eine neue Variante der Wineloader-Backdoor namens _vmtools.dll_. Diese weist starke Ähnlichkeiten mit früheren DLLs wie _AppvIsvSubsystems64.dll_ und _ppcore.dll_ auf. Die Datei wurde vermutlich erneut per DLL-Side-Loading über eine vertrauenswürdige Datei, möglicherweise aus dem VMware Tools-Paket, nachgeladen. Diese Technik, die APT29 bereits zuvor einsetzte, ermöglicht das unauffällige Ausführen von Schadcode. Die Vorgehensweise erinnert stark an eine frühere Kampagne im März 2024, bei der ebenfalls Wineloader verwendet wurde. Auch diese Angriffe begannen mit einer Phishing-Mail, getarnt als Einladung zu einer Weinverkostung. ## **Hilfestellung für Sicherheitsteams** Die Experten von Check Point entdeckten zudem Indikatoren für eine Kompromittierung von * Dateinamen, * Datei-Hashes und * C2-URLs. Solche Hinweise können von Sicherheitsteams dafür verwendet werden, Kennungen und Abfragen zur Bedrohungssuche zu erstellen, so die Sicherheitsfirma.

Russia-linked group APT29 targeted diplomatic entities across Europe with a new malware loader codenamed GRAPELOADER. Check Point Research team reported that Russia-linked cyberespionage group APT29 (aka SVR group, Cozy Bear, Nobelium, BlueBravo, Midnight Blizzard, and The Dukes) is behind a sophisticated phishing campaign targeting European diplomatic entities, using a new WINELOADER variant and a previously unknown malware called GRAPELOADER. “While the […]

The Russian state-sponsored threat actor known as APT29 has been linked to an advanced phishing campaign that's targeting diplomatic entities across Europe with a new variant of WINELOADER and a previously unreported malware loader codenamed GRAPELOADER. "While the improved WINELOADER variant is still a modular backdoor used in later stages, GRAPELOADER is a newly observed initial-stage tool

Russian state-sponsored espionage group Midnight Blizzard is behind a new spear-phishing campaign targeting diplomatic entities in Europe, including embassies. [...]

APT29, a Russia-linked group, targets European diplomats with phishing emails disguised as wine tasting invitations, deploying GRAPELOADER malware

APT29, a Russia-linked group, targets European diplomats with phishing emails disguised as wine tasting invitations, deploying GRAPELOADER malware

Russian state-sponsored espionage group Midnight Blizzard is behind a new spear-phishing campaign targeting diplomatic entities in Europe, including embassies. Midnight Blizzard, aka 'Cozy Bear' or 'A...