Google warnt: Russische Hacker entwenden OAuth-Tokens von Millionen
Veröffentlicht am: 22.08.2026 um 18:12 Uhr | Redaktion boerse-global.de
In einer aktuellen Untersuchung hat die Google Threat Intelligence Group drei russlandverbundene Spionage-Gruppierungen identifiziert, die gezielt legitime Authentifizierungsverfahren von Google und Microsoft für ihre Angriffe nutzen. Die Aktivitäten der Cluster UNC6293, UNC7005 und UNC5976 konzentrieren sich darauf, Authentifizierungsdaten und OAuth-Tokens zu entwenden, um unbefugten Zugriff auf hochsensible Benutzerkonten zu erhalten.
Die Angreifer manipulieren dabei gezielt die Autorisierungssysteme und umgehen herkömmliche Passwortabfragen. Ziel der Kampagnen sind vor allem hochrangige Personen in Europa und den USA, die in den Bereichen Wissenschaft, Luft- und Raumfahrt sowie in Verteidigungsministerien, Regierungen und Think Tanks tätig sind.
Verknüpfung mit staatlichen Akteuren und gezielte Tarnung
Laut den Sicherheitsanalysten weist das Cluster UNC6293 enge Verbindungen zur Gruppierung APT29 auf, die auch unter dem Namen Cozy Bear bekannt ist. Diese Gruppe ist dafür bekannt, sich als offizielle Institutionen auszugeben, um das Vertrauen der Opfer zu gewinnen.
In den jüngsten Fällen trat UNC6293 unter der Identität des US-Außenministeriums auf. Technisch setzt die Gruppe vor allem auf den Missbrauch von App-Passwörtern und OAuth-Flows, um sich dauerhaften Zugang zu den Zielumgebungen zu verschaffen.
Angesichts immer raffinierterer Methoden zum Diebstahl von Zugangsdaten wird der Schutz persönlicher Accounts wichtiger denn je. Dieser kostenlose PDF-Report zeigt, wie Sie sich mit Passkeys bei Diensten wie Google oder WhatsApp ohne klassisches Passwort anmelden und Hackerangriffe effektiv verhindern. Sichere Alternative zum Passwort jetzt gratis nachlesen
Ein weiteres Cluster, UNC7005, wird ebenfalls mit APT29 sowie der Einheit ICE RELIC in Verbindung gebracht. Diese Gruppierung nutzt eine raffinierte Kombination aus technischem Missbrauch und Social Engineering.
Ein zentrales Element ihrer Strategie ist die Ausnutzung der Geräteverknüpfungs-Funktion von WhatsApp. Über gefälschte Websites, die unter anderem das Erscheinungsbild der Organisation GLOBSEC oder eines finnischen Operations-Centers nachahmen, führen die Angreifer Device-Code-Phishing-Attacken durch.
Einsatz fortschrittlicher Malware-Familien
Im Rahmen der Aktivitäten von UNC7005 kommt spezialisierte Malware zum Einsatz. Die Analysten stellten fest, dass die Schadsoftware-Familien VIDAR und ATOMIC über die manipulierten WhatsApp-Verknüpfungen verbreitet werden. Neben diesen Programmen wurden in den untersuchten Clustern weitere Malware-Typen wie ENGINELIGHT, CHERRYPIE und HEADRUSH identifiziert.
Wer sich mit dem Schutz vor modernen Spionage-Methoden und Datenmissbrauch befasst, sollte auch die Sicherheit seiner mobilen Endgeräte überprüfen. Ein gratis Sicherheits-Leitfaden liefert die fünf wichtigsten Maßnahmen, um Smartphones zuverlässig gegen unbefugte Zugriffe und Malware abzusichern. 5 Schutzmaßnahmen für das Smartphone kostenlos sichern
Die Untersuchung der Google Threat Intelligence Group verdeutlicht, dass die Angreifer zunehmend von klassischen Phishing-Methoden abrücken, die lediglich auf das Abgreifen von Passwörtern zielen. Stattdessen rückt die Kompromittierung der zugrunde liegenden Autorisierungsprotokolle in den Fokus, was eine Erkennung der Angriffe erschwert, da die Zugriffe über legitime Schnittstellen erfolgen.
Fokus auf militärische Ziele und sicherheitspolitische Empfehlungen
Das dritte identifizierte Cluster, UNC5976, verfolgt einen spezifischen regionalen Fokus. Diese Gruppe zielt vorwiegend auf Militärangehörige in der Ukraine und in Armenien ab. Die Taktik besteht hierbei in der Verwendung gefälschter Dateifreigaben. Mithilfe von Skripten innerhalb der Google Cloud stiehlt die Gruppe OAuth-Tokens der Opfer, was einen weitreichenden Zugriff auf deren digitale Infrastruktur ermöglicht.
Angesichts der zunehmenden Komplexität dieser Angriffe raten Sicherheitsexperten von Google dringend dazu, Sicherheitswarnungen der Plattformen ernst zu nehmen. Nutzer sollten Warnhinweise niemals ignorieren oder an ihnen vorbeinavigieren, wenn das System vor potenziell unsicheren Verbindungen oder unautorisierten App-Zugriffen warnt.
Die Manipulation legitimer Dienste wie Google- und Microsoft-OAuth-Flows unterstreicht die Notwendigkeit, Authentifizierungsprozesse kontinuierlich zu überwachen und auf Anomalien zu prüfen.
