APT29-Angriff: 394 Gerätefelder helfen Hackern, Smartphones gezielt auszuspähen

Sicherheitsforscher des IT-Sicherheitsunternehmens Sekoia haben eine großflächige Watering-Hole-Kampagne aufgedeckt, die gezielt Nutzer mobiler Betriebssysteme ins Visier nimmt.

Laut einem Bericht von Sekoia vom 29. Oktober 2026 wird die Operation mit mittelhoher bis hoher Konfidenz der russischen Gruppierung APT29 zugeordnet, die auch unter Bezeichnungen wie Midnight Blizzard, Cozy Bear oder als Teil des Auslandsgeheimdienstes SVR bekannt ist.

Die Aktivitäten wurden Mitte Oktober 2026 entdeckt. Die Angreifer führten ihre Kampagne über kompromittierte und gefälschte Webseiten in den USA, der Ukraine, Tschechien und Bulgarien.

Manipulation legitimer Websites und gefälschte Portale

Die Kampagne nutzte drei zentrale Infektionsvektoren, um mobilen Datenverkehr abzufangen. Zum einen injizierten die Angreifer bösartigen JavaScript-Code direkt in legitime Webseiten. Betroffen waren unter anderem ein ukrainischer Gasproduzent, ein US-amerikanischer Chemieindustrieverband, eine bulgarische Militärwebseite sowie eine europäische Rechtspartei.

Als zweiter Vektor dienten sogenannte Reverse-Proxy-Domains nach dem Adversary-in-the-Middle-Prinzip, die Portale wie die Initiative America250 oder das Hotel Raffles London at The OWO imitierten.

Banking, WhatsApp oder E-Mails – wer sein Android-Smartphone täglich nutzt, setzt seine sensiblen Daten oft unbewussten Risiken durch Hacker und Viren aus. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen für einen optimalen Schutz. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Drittens kompromittierten die Akteure den SEO-Tracker Plerdy über die Domain a.plerdy.com. Dieser manipulierte Tracker wurde zwischen dem 27. August und dem 3. September 2026 von tausenden meist ukrainischen Websites geladen und verteilte den bösartigen Code weiter.

Automatisierte Profilierung und Exploit-Ketten

Sobald ein Smartphone eine der betroffenen Seiten ansteuerte, führte das injizierte JavaScript eine detaillierte Geräte- und Browserprofilierung durch. Dabei erfasste eine Komponente namens UltimateFingerprinter insgesamt 394 Felder. Anhand dieser Merkmale lieferte der zentrale Befehlsserver (C2) maßgeschneiderte Exploit-Ketten vollständig ohne erforderliche Nutzerinteraktion an das Zielgerät aus.

Sekoia identifizierte drei spezifische Exploit-Klassen:
* Klasse A: Richtete sich gegen iOS 16.7 und nutzte die Schwachstellen CVE-2025-43529 sowie CVE-2024-27834 aus, um Cookies aus dem Safari-Browser abzugreifen.
* Klasse B: Griff iOS 18.5 mithilfe des Exploit-Baukastens DarkSword über die Lücken CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520 an.

Dieser Pfad ermöglichte weitreichenden Zugriff auf SMS, iMessage, E-Mails, Datenbanken von WhatsApp und Telegram, den Schlüsselbund, WLAN-Informationen, Kontakte, Safari-Cookies, Standortdaten, Gesundheitsdaten und Fotos.
* Klasse C: Visierte Chrome auf Android in den Versionen 139 bis 145 (ausgenommen Version 143) über CVE-2026-3910 und CVE-2025-27038 an. Über eine Komponente namens AndroSnitch wurden Chrome-Cookies, Anmeldedaten, der Browserverlauf und WLAN-Details erbeutet.

Ein veraltetes Smartphone kann wie eine offene Tür für Cyberkriminelle wirken, die es auf Ihre privaten Daten abgesehen haben. In diesem gratis Report erfahren Sie, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Ihr Gerät effektiv vor Malware schützen. Kostenlosen Android-Sicherheits-Ratgeber herunterladen

Sicherheitslücken gepatcht und Gegenmaßnahmen eingeleitet

Die Angreifer verzichteten auf Persistenzmechanismen; ein einfacher Neustart des Endgeräts beendet die Schadaktivität vollständig. Apple und Google haben sämtliche in der Kampagne ausgenutzten Sicherheitslücken bereits gepatcht. Die Akteure setzten gezielt auf sogenannte n-Day-Lücken, die nur auf Geräten mit veralteten Softwareständen erfolgreich ausgenutzt werden konnten.

Nach Angaben von Sekoia diente die Kampagne primär der nachrichtendienstlichen Informationsbeschaffung und sollte als Sprungbrett für weitere Identitäts- und Cloud-Intrusionen genutzt werden.

Gestohlene Cookies ermöglichen es den Angreifern, Zugriff auf Webmail-Dienste, Cloud-Suiten und interne Firmenportale zu erlangen, ohne Passwörter eingeben oder bestehende Multifaktor-Authentifizierungen überwinden zu müssen. Um die Infrastruktur lahmzulegen, kontaktierte Sekoia das ukrainische Notfallteam CERT-UA sowie 25 Provider und Hosting-Dienstleister für koordinierte Takedowns.