Ein Team von Proofpoint-Sicherheitsforschern rund um Mark Kelly und Georgi Mladenov hat festgestellt, dass die Gruppe TA416 seit einiger Zeit wieder verstärkt Cyberspionage betreibt – sehr wahrscheinlich im Auftrag der chinesischen Regierung. Insbesondere haben die Angreifer ihre Attacken auf europäische Regierungen und deren diplomatische Einrichtungen wieder aufgenommen.
Im März 2026, nach dem Ausbruch des Iran-Krieges, führte TA416 darüber hinaus mehrere Kampagnen durch, die auf eine Vielzahl diplomatischer und staatlicher Einrichtungen im Nahen Osten abzielten – eine Region, die von diesem Akteur traditionell nicht regelmäßig ins Visier genommen wird. Dies steht im Einklang mit einem von Proofpoint beobachteten Trend, wonach einige staatlich unterstützte Akteure nach dem Krieg ihren Fokus zunehmend auf staatliche und diplomatische Einrichtungen im Nahen Osten verlagern.
Im Visier: Europäische Regierungen und diplomatische Einrichtungen
Seit Mitte 2025 hat TA416 seine regelmäßigen Angriffe auf europäische Regierungen und deren diplomatische Einrichtungen wieder aufgenommen. Diese erneuten Angriffe richteten sich vor allem gegen Personen oder E-Mail-Postfächer, die mit diplomatischen Vertretungen und Delegationen bei der NATO und der EU in Verbindung stehen. Die Rückkehr von TA416 zu Angriffen auf europäische Regierungsstellen begann unmittelbar nach dem 25. EU-China-Gipfel vor dem Hintergrund steigernder Meinungsverschiedenheiten über Handelsbeziehungen, den Krieg Russlands gegen die Ukraine sowie den Export von Seltenen Erden.
TA416 führt sowohl groß angelegte Web-Bug- als auch Malware-Verbreitungskampagnen durch. Die Web-Bug-Kampagnen von TA416 nutzten Freemail-Absenderkonten und eine Reihe Köder, wie die Entsendung europäischer Truppen nach Grönland. Ein Web-Bug (oder Tracking-Pixel) ist ein winziges, unsichtbares Objekt, das in eine E-Mail eingebettet ist und beim Öffnen eine HTTP-Anfrage an einen Remote-Server auslöst, wodurch die IP-Adresse des Empfängers, der User-Agent und der Zeitpunkt des Zugriffs offengelegt werden, sodass der Angreifer beurteilen kann, ob die E-Mail vom beabsichtigten Ziel geöffnet wurde.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenMalware-Verbreitungskampagnen nutzten sowohl von Angreifern kontrollierte Freemail-Konten als auch kompromittierte E-Mail-Postfächer von Regierungsstellen oder diplomatischen Vertretungen, um Links zu bösartigen Archiven zu versenden, die auf Microsoft Azure Blob Storage, von den Akteuren kontrollierten Domains, Google Drive oder kompromittierten SharePoint-Instanzen gehostet wurden.
Mehr dazu in einem Blogbeitrag der Proofpoint Experten, wie etwa über die eingesetzten Infektionsketten maßgeschneiderte Backdoors.
Mehr bei Proofpoint.com
Über Proofpoint Proofpoint, Inc. ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren.
Passende Artikel zum Thema
Geopolitische Eskalation im Cyberspace: Proofpoint deckt massive Spionage-Kampagne von TA416 gegen EU- und NATO-Vertretungen auf
Fachliche Einordnung Die Fachplattform B2BCS ordnet die aktuellen Enthüllungen der Proofpoint-Sicherheitsforscher rund um Mark Kelly und Georgi Mladenov als kritische Eskalationsstufe im Bereich der staatlich gelenkten Cyberspionage (Advanced Persistent Threats, APT) ein. Die Aktivitäten der mutmaßlich im Auftrag der chinesischen Regierung agierenden Akteursgruppe TA416 (auch bekannt unter dem Namen Mustang Panda) zeigen eine direkte Korrelation zwischen realen geopolitischen Spannungen und maßgeschneiderten Cyberoperationen. Die zeitliche und thematische Ausrichtung der Angriffe belegt, dass Cyber-Spionage nahtlos als strategisches Instrument der Außen- und Handelspolitik eingesetzt wird.
Key-Takeaways
- Fokus auf transatlantische Schaltstellen: Seit Mitte 2025 verzeichnen Sicherheitsforscher eine massive Reaktivierung von TA416-Kampagnen, die gezielt auf E-Mail-Postfächer diplomatischer Vertretungen und Delegationen bei der NATO und der EU abzielen. (Quelle: Proofpoint)
- Geopolitische Triggerpunkte: Der Start der Spionagewelle folgte unmittelbar auf den 25. EU-China-Gipfel. Als inhaltliche Köder (Lures) dienen hochaktuelle Konfliktthemen wie Handelsdispute, der Krieg in der Ukraine, Exportbeschränkungen für Seltene Erden sowie fiktive Szenarien wie die Verlegung europäischer Truppen nach Grönland. (Quelle: Proofpoint)
- Strategische Flexibilität im Nahen Osten: Infolge des Ausbruchs des Iran-Krieges im März 2026 weitete die Gruppe ihr operatives Visier kurzfristig auf staatliche Institutionen im Nahen Osten aus – eine Region, die historisch nicht zum Kerngebiet von TA416 gehörte. (Quelle: Proofpoint)
- Zweistufige Angriffsmatrix: Die Akteure nutzen eine Kombination aus unsichtbaren Web-Bugs (Tracking-Pixel) zur digitalen Aufklärung (Validierung aktiver Ziel-IPs und Mail-Clients) sowie darauffolgenden Phishing-Wellen zur eigentlichen Malware-Injektion. (Quelle: Proofpoint)
- Ausnutzung von Cloud-Vertrauen: Zur Verteilung maßgeschneiderter Backdoors missbraucht die Gruppe legitime Infrastrukturen wie Microsoft Azure Blob Storage, Google Drive und kompromittierte behördliche SharePoint-Instanzen, um klassische Reputationsfilter auszuhebeln. (Quelle: Proofpoint)
Strategische Analyse Für Sicherheitsverantwortliche, CISOs und IT-Leiter im Bereich KRITIS, Landesverteidigung und der direkt angeschlossenen Zulieferindustrie (Supply Chain) verdeutlicht dieser Report die Perfektionierung moderner Social-Engineering-Angriffe. TA416 operiert nicht mit plakativen Massen-Mails, sondern nutzt kompromittierte Postfächer echter Behörden und Diplomatensekretariate. Wenn eine bösartige ZIP-Datei über eine verifizierte, offizielle SharePoint-Instanz geteilt wird, greifen gängige URL-Reputationsfilter ins Leere. Zudem zeigt der kombinierte Einsatz von Tracking-Pixeln, dass Angreifer im Vorfeld genauestens analysieren, welche Mitarbeiter auf welche Themen reagieren, um nachfolgende Schadcodes hochpräzise zu platzieren. Das Sicherheitsrisiko betrifft somit längst nicht mehr nur Kernregierungen, sondern jedes forschende oder strategisch verflochtene B2B-Unternehmen im DACH-Raum.
Handlungsempfehlung: Angesichts der hochentwickelten Infiltrationsmethoden staatlicher Akteure müssen Organisationen ihre Verteidigungsarchitektur auf ein konsequentes Zero-Trust-Modell für Kommunikation ausrichten.
- Deaktivierung externer Bildinhalte und Tracking-Pixel: Mail-Server (z. B. Exchange Online / M365) sollten so konfiguriert werden, dass das automatische Laden externer Web-Ressourcen und Bilder standardmäßig blockiert wird. Dies entzieht Angreifern die Möglichkeit, die Zustellbarkeit und das Leseverhalten über Web-Bugs auszuspähen.
- Verschärfung der Cloud-Speicher-Inbound-Regeln: Da staatliche Hacker verstärkt Azure Blobs und Google Drive missbrauchen, müssen Inbound-Filter so nachgeschärft werden, dass verschlüsselte Archivdateien (.zip, .7z, .rar), die von externen Cloud-Speichern stammen, automatisiert in einer isolierten Sandbox ausgeführt und auf Verhaltensanomalien geprüft werden.
- Gegenprüfung durch Out-of-Band-Authentifizierung: Mitarbeiter in sensiblen Schnittstellenfunktionen (Einkauf, Logistik, Government Relations) müssen darauf geschult werden, ungewöhnliche Dateifreigaben oder Dokumenten-Links selbst von vertrauenswürdigen Partnerbehörden über einen sekundären Kanal (z. B. Telefon oder verschlüsselter Messenger) kurzzuschließen, bevor Anhänge geöffnet werden.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200