OAuth-Missbrauch: Russische Spione greifen Google und WhatsApp an

Sicherheitsanalysten von Google warnen vor einer veränderten Taktik russischer Cyber-Spionagegruppen, die verstärkt auf den Missbrauch von OAuth-Authentifizierungen setzen.

Die Kampagnen richten sich gezielt gegen akademische Einrichtungen, Regierungsstellen, Think Tanks sowie Unternehmen aus den Bereichen Luft- und Raumfahrt, Verteidigung und Forschung in Europa und den USA. Im Fokus stehen dabei die Gruppierungen UNC6293, UNC7005 und UNC5976, die ihre Angriffsvektoren zunehmend auf Cloud-basierte Identitätsdienste verlagern.

Gezielte Kampagnen mit hoher Präzision

Die beobachteten Aktivitäten laufen laut Sicherheitsberichten bereits seit dem Jahr 2024 und sind weiterhin aktiv. Ein charakteristisches Merkmal dieser Kampagnen ist ihre hohe Zielgenauigkeit bei gleichzeitig geringem Volumen.

Den Analysen zufolge hat jede der beteiligten Gruppen bisher weniger als 100 spezifische Ziele ins Visier genommen. Die Erfolgsquote der Angreifer wird als gering, aber kritisch eingestuft: Pro Gruppe konnten bisher weniger als 10 Opfer identifiziert werden.

Die Angreifer nutzen den Umstand aus, dass OAuth-Tokens einen dauerhaften Zugriff auf Nutzerkonten ermöglichen, ohne dass das Passwort des Opfers bekannt sein muss oder eine erneute Multi-Faktor-Authentifizierung erforderlich wird. Sobald ein Nutzer einer vermeintlich legitimen Anwendung den Zugriff gewährt, können die Spionagegruppen E-Mails lesen, Daten extrahieren und sich innerhalb der betroffenen Organisationen weiterbewegen.

Wer sich mit der Abwehr solch gezielter Spionageangriffe befasst, findet in diesem kostenlosen E-Book wertvolle Informationen zu aktuellen Bedrohungen und neuen gesetzlichen Anforderungen. Cyber Security: Bedrohungen abwenden und Ihr Unternehmen langfristig schützen

Unterschiedliche Vorgehensweisen der Akteure

Die einzelnen Gruppierungen nutzen spezialisierte Methoden, um die notwendigen Berechtigungen zu erlangen:

Die als UNC6293 bekannte Gruppe, die auch unter der Bezeichnung APT29 oder Cozy Bear geführt wird, nutzt für ihre Angriffe eine Tarnidentität. Sie gibt sich gegenüber den potenziellen Opfern als das US-Außenministerium aus. Durch diesen Vorwand sollen die Zielpersonen dazu verleitet werden, schädliche OAuth-Anfragen zu autorisieren, die scheinbar von einer offiziellen Regierungsbehörde stammen.

Die Gruppierung UNC7005 konzentriert sich hingegen auf Nutzer in öffentlichen WLAN-Netzwerken. Diese Gruppe setzt auf sogenanntes Device-Code-Phishing in Kombination mit Malware. Dabei werden Nutzer dazu aufgefordert, einen Code auf einer Authentifizierungsseite einzugeben, was den Angreifern schließlich den Zugriff auf das Gerät oder verbundene Cloud-Konten ermöglicht.

Angesichts der zunehmenden Schäden durch Phishing-Methoden wie den beschriebenen Identitätstäuschungen hilft dieser kostenlose Leitfaden dabei, Sicherheitslücken proaktiv zu schließen. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe

UNC5976 wiederum nutzt gefälschte Dateifreigabe-Seiten als Lockmittel. Nutzer, die glauben, auf ein geteiltes Dokument zuzugreifen, werden stattdessen auf Seiten geleitet, die OAuth-Tokens entwenden. Diese Tokens dienen den Angreifern als digitaler Schlüssel, um langfristigen Zugriff auf die Zielumgebungen zu erhalten.

Missbrauch von Google-Diensten und Messengern

Ergänzende Berichte weisen darauf hin, dass die Angreifer nicht nur klassische Unternehmensanwendungen im Blick haben. Es wurden Versuche dokumentiert, bei denen gezielt Google-OAuth-Schnittstellen missbraucht werden, um Konten vollständig zu übernehmen. In einigen Fällen soll zudem die Verknüpfungsfunktion von WhatsApp manipuliert worden sein, um Zugriff auf die Kommunikation der betroffenen Personen zu erlangen.

Diese Entwicklung unterstreicht die wachsende Komplexität der russischen Spionageaktivitäten, die über einfache Passwort-Diebstähle hinausgehen. Experten raten Organisationen in den betroffenen Sektoren dazu, die Überprüfung von Drittanbieter-Anwendungen in ihren Cloud-Umgebungen zu verschärfen und verdächtige OAuth-Berechtigungen systematisch zu überwachen.