Mit Russland verbundene Hacker griffen im Rahmen einer von Sicherheitsforschern aufgedeckten Spionagekampagne über legitime Websites verwundbare iPhones und Android-Geräte an.
In einem Bericht vom 4. November ordnete das Cybersicherheitsunternehmen Sekoia die Operation mit mittlerer bis hoher Gewissheit APT29 zu, einer mit dem russischen Auslandsgeheimdienst verbundenen Hackergruppe.
Die Untersuchung deckte außerdem einen kompromittierten Analysedienst auf, der über ansonsten legitime Websites schädlichen Code verbreitete und dadurch die mobilen Daten sowie authentifizierte Onlinesitzungen der Besucher gefährdete.
Ein gekaperter Analysedienst vergrößerte die Reichweite der Kampagne
Forscher entdeckten zunächst bösartigen JavaScript-Code auf der Website eines ukrainischen Gasproduzenten. Die Untersuchung von Sekoia identifizierte außerdem infizierte Seiten eines US-amerikanischen Branchenverbands der Chemieindustrie und einer europäischen politischen Partei. Auf einer bulgarischen Website mit Bezug zum Militär hatten Hacker eine vorhandene JavaScript-Bibliothek manipuliert – ein weiteres Beispiel für die Watering-Hole-Taktiken, die in Kampagnen mit fortgeschrittenen persistenten Bedrohungen eingesetzt werden.
Die Angreifer registrierten außerdem ähnlich aussehende Domains, die sich als America250 und Raffles London im Hotel The OWO ausgaben. Besucher sahen von den legitimen Websites abgerufene Inhalte, doch die betrügerischen Adressen fügten heimlich schädliche Skripte in die Seiten ein.
Eine separate Kompromittierung der Software-Lieferkette weitete die Operation über Plerdy aus, einen ukrainischen Anbieter von Webanalysediensten. Zwischen dem 27. Aug. und dem 3. Sept. manipulierten Hacker dessen JavaScript-Tracker, der von Tausenden überwiegend ukrainischen Websites geladen wurde, darunter auch Seiten von Militärorganisationen und Anbietern von Verteidigungsausrüstung. Besucher konnten dem eingeschleusten Skript auch dann ausgesetzt sein, wenn die Websites selbst nicht direkt kompromittiert worden waren.
Mobile Exploits zielen auf gespeicherte Passwörter und private Informationen
Nach dem Laden sammelte das eingeschleuste Skript Informationen über das Betriebssystem und den Browser eines Besuchers, bevor es Kontakt zu einer von den Angreifern kontrollierten Infrastruktur aufnahm. Verwundbare Geräte konnten anschließend automatisch passende Exploits erhalten, ohne zusätzliche Klicks oder Softwaredownloads.
Durch Tests verschiedener Browserprofile gegen den Auslieferungsserver konnten die Ermittler drei vollständige Exploit-Ketten mit unterschiedlichen Fähigkeiten zum Datendiebstahl rekonstruieren.
Beobachtete Ziele | Schwachstellen | Zielinformationen |
|---|---|---|
| iOS 16.7 | CVE-2025-43529, CVE-2024-27834 | Gespeicherte Authentifizierungscookies |
| iOS 18.5 | DarkSword-Kette mit fünf Schwachstellen | Nachrichten, Keychain-Zugangsdaten, Fotos und andere Gerätedaten |
| Chrome für Android 139–145, außer 143 | CVE-2026-3910, CVE-2025-27038 | Browsercookies, gespeicherte Anmeldedaten, Browserverlauf und WLAN-Passwörter |
Eine iPhone-Exploit-Kette enthielt DarkSword, ein Toolkit, das von Google dokumentiert wurde im März, nachdem Forscher dessen Einsatz durch mehrere Angreifer beobachtet hatten. Eine frühere Untersuchung brachte mutmaßliche Aktivitäten von APT29 ebenfalls mit dem Diebstahl mobiler Cookies über kompromittierte mongolische Regierungswebsites in Verbindung.
Alle rekonstruierten Ketten stützten sich auf Schwachstellen, die bereits vor Beginn der Kampagne gepatcht worden waren, sodass vollständig aktualisierte Geräte gegen diese konkreten Angriffe geschützt waren. Keine der Ketten etablierte Persistenz, doch ein Neustart des Telefons würde keinen bereits erfolgten Datendiebstahl rückgängig machen. Die Ermittler konnten nicht feststellen, wie viele Geräte erfolgreich kompromittiert worden waren.
Gestohlene mobile Sitzungen werfen Fragen zur Sicherheit von Unternehmenskonten auf
Mitarbeiter nutzen Smartphones für den Zugriff auf Unternehmens-E-Mails und Cloud-Anwendungen. Werden Authentifizierungsdaten gestohlen, kann dies Unternehmen potenziell gefährden. Je nach Schutzmechanismen eines Dienstes könnte Sitzungshijacking Angreifern Zugriff auf diese Konten verschaffen, ohne zuvor in das Netzwerk einer Organisation eindringen zu müssen.
Sicherheitsteams können das Risiko mit drei Prioritäten angehen.
- Zugriff von verwundbaren Geräten beschränken. Kombinieren Sie die Verwaltung mobiler Geräte mit identitätsbasierten Zugriffsrichtlinien, um Mindestversionen von Betriebssystem und Browser durchzusetzen, bevor Telefone auf vertrauliche Geschäftsanwendungen zugreifen können.
- Potenziell betroffene Konten untersuchen. Prüfen Sie verfügbare DNS-, Proxy- und Mobil-Sicherheitsprotokolle auf Kontakte mit der von Sekoia veröffentlichten schädlichen Infrastruktur und untersuchen Sie anschließend potenziell betroffene Konten auf verdächtige Sitzungen. Ein unauffälliger Gerätescan allein schließt einen früheren Datendiebstahl nicht aus.
- Kompromittierte Zugriffe ungültig machen. Widerrufen Sie betroffene Sitzungen und setzen Sie offengelegte Zugangsdaten von einem vertrauenswürdigen Gerät aus zurück, wenn Belege für eine Kompromittierung vorliegen. Die Installation von Sicherheitsupdates kann bereits von Angreifern abgegriffene Authentifizierungsdaten nicht ungültig machen.
Die mit dem Konto eines Mitarbeiters verknüpften Berechtigungen sollten bestimmen, wie dringend Sicherheitsteams eine vermutete Kompromittierung eskalieren. Administratorzugriff auf kritische Systeme kann aus einem Vorfall auf einem einzelnen Gerät ein unternehmensweites Sicherheitsproblem machen.
Mehr zur mobilen Sicherheit: Googles Sicherheitsbulletin vom November enthält etwa zwei Dutzend kritische Schwachstellen, die zentrale Software- und Hardwarekomponenten von Android betreffen.