Mit Russland verbundene Hacker griffen im Rahmen einer von Sicherheitsforschern aufgedeckten Spionagekampagne über legitime Websites anfällige iPhones und Android-Geräte an.
In einem Bericht vom 4. November ordnete das Cybersicherheitsunternehmen Sekoia die Operation mit mittlerer bis hoher Zuversicht APT29 zu, einer mit dem russischen Auslandsgeheimdienst verbundenen Hackergruppe.
Die Untersuchung deckte außerdem einen kompromittierten Analysedienst auf, der Schadcode über ansonsten legitime Websites verbreitete und dadurch die mobilen Daten sowie authentifizierte Online-Sitzungen der Besucher gefährdete.
Ein gekaperter Analysedienst vergrößerte die Reichweite der Kampagne
Forscher entdeckten zunächst schädliches JavaScript auf der Website eines ukrainischen Gasproduzenten. Die Untersuchung von Sekoia identifizierte außerdem infizierte Seiten eines US-amerikanischen Verbands der Chemieindustrie und einer europäischen politischen Partei. Auf einer bulgarischen Website mit Bezug zum Militär hatten Hacker eine vorhandene JavaScript-Bibliothek manipuliert – ein weiteres Beispiel für die in Advanced-Persistent-Threat-Kampagnen eingesetzten Watering-Hole-Taktiken.
Die Angreifer registrierten außerdem ähnlich aussehende Domains, die America250 und Raffles London at The OWO imitierten. Besucher sahen Inhalte, die von den legitimen Websites abgerufen wurden, doch die betrügerischen Adressen fügten heimlich schädliche Skripte in die Seiten ein.
Ein separater Angriff auf die Software-Lieferkette weitete die Operation über Plerdy, einen ukrainischen Webanalysedienst, aus. Zwischen dem 27. Aug. und dem 3. Sept. veränderten Hacker dessen JavaScript-Tracker, der von Tausenden überwiegend ukrainischen Websites geladen wurde, darunter Websites von Militärorganisationen und Anbietern von Verteidigungsausrüstung. Besucher konnten auf das eingeschleuste Skript stoßen, selbst wenn die Websites selbst nicht direkt kompromittiert worden waren.
Mobile Exploits zielen auf gespeicherte Passwörter und private Informationen
Nach dem Laden sammelte das eingeschleuste Skript Informationen über das Betriebssystem und den Browser eines Besuchers, bevor es eine von den Angreifern kontrollierte Infrastruktur kontaktierte. Anfällige Geräte konnten anschließend automatisch passende Exploits erhalten, ohne zusätzliche Klicks oder Software-Downloads.
Indem sie verschiedene Browserprofile gegen den Auslieferungsserver testeten, rekonstruierten die Ermittler drei vollständige Exploit-Ketten mit unterschiedlichen Fähigkeiten zum Datendiebstahl.
Beobachtete Ziele | Schwachstellen | Zielinformationen |
|---|---|---|
| iOS 16.7 | CVE-2025-43529, CVE-2024-27834 | Gespeicherte Authentifizierungs-Cookies |
| iOS 18.5 | DarkSword-Kette mit fünf Schwachstellen | Nachrichten, Keychain-Zugangsdaten, Fotos und andere Gerätedaten |
| Chrome für Android 139–145, ausgenommen 143 | CVE-2026-3910, CVE-2025-27038 | Browser-Cookies, gespeicherte Anmeldedaten, Browserverlauf und WLAN-Passwörter |
Eine iPhone-Exploit-Kette umfasste DarkSword, ein Toolkit, das von Google dokumentiert wurde – im März, nachdem Forscher dessen Einsatz durch mehrere Bedrohungsakteure beobachtet hatten. Eine frühere Untersuchung brachte mutmaßliche Aktivitäten von APT29 ebenfalls mit dem Diebstahl mobiler Cookies über kompromittierte mongolische Regierungswebsites in Verbindung.
Alle rekonstruierten Ketten nutzten Schwachstellen, die bereits vor Beginn der Kampagne gepatcht worden waren, sodass vollständig aktualisierte Geräte gegen diese spezifischen Angriffe geschützt waren. Keine der Ketten etablierte Persistenz, doch ein Neustart des Telefons würde keinen bereits erfolgten Datendiebstahl rückgängig machen. Die Ermittler konnten nicht feststellen, wie viele Geräte erfolgreich kompromittiert wurden.
Gestohlene mobile Sitzungen werfen Fragen zur Sicherheit von Unternehmenskonten auf
Mitarbeiter nutzen Smartphones, um auf Unternehmens-E-Mails und Cloud-Anwendungen zuzugreifen. Werden Authentifizierungsdaten gestohlen, kann dies Unternehmen potenziell gefährden. Je nach Schutzmechanismen eines Dienstes könnte Session-Hijacking Angreifern Zugriff auf diese Konten verschaffen, ohne zuvor das Netzwerk einer Organisation kompromittieren zu müssen.
Sicherheitsteams können das Risiko mit drei Prioritäten angehen.
- Zugriff von anfälligen Geräten beschränken. Verwaltung mobiler Geräte mit identitätsbasierten Zugriffsrichtlinien kombinieren, um Mindestversionen von Betriebssystem und Browser durchzusetzen, bevor Smartphones auf sensible Geschäftsanwendungen zugreifen können.
- Potenziell betroffene Konten untersuchen. Die verfügbaren DNS-, Proxy- und Mobile-Security-Protokolle auf Kontakte mit der von Sekoia veröffentlichten schädlichen Infrastruktur prüfen und anschließend potenziell betroffene Konten auf verdächtige Sitzungen untersuchen. Ein sauberer Gerätescan allein schließt einen früheren Datendiebstahl nicht aus.
- Kompromittierten Zugriff ungültig machen. Betroffene Sitzungen widerrufen und offengelegte Zugangsdaten von einem vertrauenswürdigen Gerät aus zurücksetzen, wenn die Beweislage auf eine Kompromittierung hindeutet. Die Installation von Sicherheitsupdates kann bereits von Angreifern abgegriffene Authentifizierungsdaten nicht ungültig machen.
Die mit dem Konto eines Mitarbeiters verbundenen Berechtigungen sollten bestimmen, wie dringend Sicherheitsteams eine vermutete Kompromittierung eskalieren. Administratorzugriff auf kritische Systeme kann aus einem Vorfall auf einem einzelnen Gerät ein unternehmensweites Sicherheitsproblem machen.
Mehr zur Sicherheit mobiler Geräte: Googles Sicherheitsbulletin vom November enthält etwa zwei Dutzend kritische Schwachstellen, die Androids Kernsoftware und Hardwarekomponenten betreffen.