Thought Leadership
Ein Spionage-Cluster missbraucht die Anmeldeverfahren, um Privatpersonen aus Wissenschaft, Diplomatie und Verteidigung in Europa und den USA anzugreifen.
Die Forscher Gabby Roncone und Wesley Shields von Google Threat Intelligence beschreiben das Vorgehen als „andauernde, anpassungsfähige Phishing-Kampagnen“ mit ausgefeilten Social-Engineering-Taktiken. Die als UNC6293, UNC7005 und UNC5976 geführten Cluster gelten laut Google als Teilgruppen oder verwandt mit der auch als Cozy Bear beziehungsweise Midnight Blizzard bekannten Gruppe Ice Relic. UNC6293 missbrauchte dabei bereits seit Längerem sogenannte anwendungsspezifische Passwörter von Google-Konten sowie zuletzt OAuth-Phishing, bei dem Opfer nach einer echten Anmeldung dazu gebracht werden, einen Bestätigungscode preiszugeben. UNC5976 registrierte seit März 2026 mindestens zwölf Domains mit Dateifreigabe-Bezug, um darüber gefälschte Google-Anmeldeseiten und anschließend eigene Cloud-Projekte zum Abgreifen von Authentifizierungs-Tokens zu betreiben, bevor Google die Infrastruktur störte und der Akteur auf andere Anbieter auswich.
WhatsApp-Geräteverknüpfung als neuer Angriffsweg
Besonderes Augenmerk legt der Bericht auf UNC7005, auch als Storm-2945 bekannt, das seit Februar 2026 vor allem Wissenschaft, Diplomatie und gemeinnützige Organisationen in der Ukraine, Westeuropa und den USA angreift. Im Mai und Juni 2026 gab sich die Gruppe dabei als WhatsApp aus und brachte Opfer dazu, ihr eigenes WhatsApp-Konto mit einem vom Angreifer kontrollierten Gerät zu verknüpfen, angeblich um an einem sicheren Anruf, Chat oder Dateiaustausch teilzunehmen. Nahm ein Opfer anschließend an einem vorgeschlagenen Sprachanruf teil, löste dies laut Google eingeschleusten JavaScript-Code aus, der Audio und Video aufzeichnete und an einen Kontrollserver sendete.
Parallele Kampagne über manipulierte Hotel-WLANs
Die Ergebnisse von Google stehen zudem im Zusammenhang mit der bereits von Microsoft und ReliaQuest dokumentierten Kampagne CaptiveCrunch, die WLAN-Portale in Hotels, Konferenzzentren und Flughäfen gezielt über DNS-Manipulation missbraucht. Microsoft beschrieb den Aufbau der zugehörigen Kontrollserver-Oberfläche FruitStone so: Sie diene als „zentralisiertes Dashboard zur Verwaltung kompromittierter Endpunkte“ ganz ohne eigene Authentifizierung. Das Sicherheitsunternehmen Lumen Black Lotus Labs identifizierte im Rahmen eigener Untersuchungen rund 70 betroffene IP-Adressen und hält es für möglich, dass die Angreifer zunächst mehrere Managed-Service-Provider kompromittierten, um darüber anschließend „das Vertrauensverhältnis zu deren Kunden“ für eigene Zwecke auszunutzen.
(red)
