Aktuell rücken neue Varianten von Kontoübernahmen in den Fokus: Sicherheitsforscher berichten, dass mutmaßlich russische Akteursgruppen Google OAuth & WhatsApp-Links missbrauchen. Dabei tarnen sie ihre Angriffe als legitime Authentifizierungsabläufe – etwa nach einem erfolgreichen Login oder über scheinbar offizielle Verknüpfungsanfragen. Zielgruppen sind unter anderem Personen aus Forschung, Luft- und Raumfahrt, Verteidigung, Behörden sowie Think Tanks.
Der entscheidende Punkt: Die Betrugsmaschen nutzen reale Funktionen und vertraute Oberflächen. Dadurch wirkt der Einstieg für Betroffene oft weniger verdächtig, während Angreifer trotzdem Zugriff auf Token und damit auf Konten anstreben.
Welche Gruppen stehen im Bericht im Mittelpunkt?
Die Beobachtungen umfassen mehrere mutmaßliche Cluster, die sich auf Authentifizierung als Angriffspunkt konzentrieren. Namentlich werden UNC6293, UNC7005 und UNC5976 genannt. Diese Gruppen werden mit Aktivitäten in Europa und auch mit Zielen in den USA in Verbindung gebracht, wobei ein Schwerpunkt auf akademischen und staatlich nahen Organisationen liegt.
Ein wiederkehrendes Muster: Die Kampagnen setzen auf anhaltende, sich anpassende Social-Engineering-Strategien. Häufig werden dabei persönliche Konten über mehrere Plattformen ins Visier genommen.
UNC6293: Phishing mit App-Password und diplomatischen Ködern
UNC6293 wird als Sub-Cluster im Umfeld von Ice Relic eingeordnet. Zuvor war diese Aktivität bereits dadurch aufgefallen, dass Angreifer eine Funktion namens application specific passwords missbrauchten. Dabei kann ein Opfer – je nach Vorgehen – Konten in die Hände der Angreifer überführen.
Seitdem arbeiten die Verantwortlichen offenbar weiter an kleineren, selektiven Kampagnen. Die Angriffe zielen dabei typischerweise auf weniger als fünf Personen pro Welle. Als Köder dienen unter anderem Themen aus dem diplomatischen Umfeld, etwa Bezugnahmen auf anstehende Konferenzen oder Treffen.
Besonders relevant ist außerdem eine neuere Variante: Google berichtet, dass es Ende Juni 2026 OAuth-Phishing beobachtete. Dabei werden Ziele nach einem scheinbar echten Login über einen externen Authentifizierungsanbieter dazu gebracht, entweder eine vollständige URL oder einen Verifizierungscode zu teilen. Sobald der Code vorliegt, kann das den Angreifern den Zugriff auf das Zielkonto ermöglichen.
UNC5976: Fake-Dateiportale, die OAuth-Tokens einsammeln
Auch UNC5976 setzt stark auf OAuth-Phishing. Laut den Forschern ist die Gruppe mindestens seit März 2026 aktiv. Das Vorgehen kombiniert mehrere Bausteine: Angreifer registrieren Domains und bauen anschließend eine passende Infrastruktur in der Cloud auf.
Häufig nutzen die Täter Domainnamen, die thematisch an File-Sharing erinnern. Diese Seiten fungieren als Köder: Wenn ein Ziel die Seite für nur wenige Sekunden besucht, erscheint ein Pop-up mit einem Login-Fenster.
Das Pop-up enthält eine Schaltfläche, die wie ein normaler Weg zur Anmeldung wirkt – „Continue with Google“. Ein Klick leitet dann auf die legitime Google-OAuth-Loginseite weiter. Nach der erfolgreichen Authentifizierung wird das Opfer jedoch zu einem Angreifer-Ziel im Rahmen eines Cloud-Projekts geführt, das bösartige Skripte enthält. Diese Skripte sollen die Token aus der URL auslesen und für späteren Zugriff „bereitstellen“.
Die Ermittler schätzen, dass die Gruppe seit März 2026 mindestens zwölf neue Domains und dazugehörige Infrastruktur aufgebaut hat. Google konnte einen großen Teil dieser Infrastruktur gezielt stören. Anschließend soll UNC5976 auf andere Anbieter ausgewichen sein, um die nächste Welle der Phishing-Seiten abzusichern.
Zusätzliche Malware über eine gefälschte Instituts-Seite
Neben dem OAuth-Fokus wurde UNC5976 außerdem mit einem weiteren Delivery-Mechanismus verbunden. Dazu gehört ein „rogue Excel plugin“ mit dem Namen HEADRUSH, das eine HTML Application (HTA) nachlädt. Die Verteilung erfolgte über eine Domain, die ein ukrainisches Forschungsinstitut nachahmt.
Es gibt Hinweise darauf, dass der Angriff möglicherweise gegen ein ukrainisches Unternehmen aus den Bereichen Luftfahrt und Bildgebung gerichtet war. Das genaue Ausmaß bleibt jedoch unklar.
UNC7005: WhatsApp-Geräteverknüpfung und OAuth-Operationen parallel
Als Kernfokus wird bei den jüngsten Erkenntnissen UNC7005 beschrieben (auch genannt Storm-2945). Die Gruppe soll vor allem Menschen in der akademischen Welt sowie im diplomatischen und gemeinnützigen Bereich in der Ukraine und in westlichen Teilen Europas sowie in den USA adressieren.
Die Täter nutzen dabei mehrere Wege für den Zugang. Laut Bericht gehören dazu wiederum selektive Angriffe über App-Password-Phishing. Gleichzeitig arbeiten sie mit Methoden, die sich gegen Gerätelinks richten – unter anderem für Microsoft und WhatsApp.
WhatsApp-Pishing: vom Klick zur Geräteverknüpfung
Ein besonders auffälliges Element sind Kampagnen, die WhatsApp nachahmen. In den Monaten Mai und Juni 2026 sollen entsprechende Social-Engineering-Aktionen durchgeführt worden sein, um Betroffene in die Verknüpfung ihrer WhatsApp-Accounts mit einem angreiferkontrollierten Gerät zu locken. Die Ziele sollen dabei einer „sicheren WhatsApp“-Sitzung beitreten: Call, Chat oder Dokument-Share.
So läuft die Masche in der Praxis typischerweise ab:
- Der Nutzer gelangt auf eine Phishing-Seite.
- Die Seite fragt nach einer Telefonnummer.
- Mit dieser Nummer wird eine legitime WhatsApp-Geräteverknüpfungsanfrage erzeugt.
- Danach werden ein QR und ein Linkcode angezeigt, plus eine Anleitung zur Verknüpfung.
Nach erfolgreicher Verknüpfung fordert die Seite den Nutzer erneut auf, entweder einem Voice-Call beizutreten, einen verschlüsselten Chat zu nutzen oder eine Datei herunterzuladen. Je nach Option werden weitere Schritte angestoßen: Wenn der Nutzer den Voice-Call wählt, soll JavaScript Audio und Video aufzeichnen und an einen Kommando-Server (C2) senden.
Entscheidet sich das Opfer für die Chat-Variante, fordert das Skript die Nutzer dazu auf, einen bereitgestellten Benutzernamen und ein Passwort in einem sekundären Login zu verwenden. Was genau bei „Datei herunterladen“ passiert, bleibt im Bericht als Detail offen.
OAuth-Phishing über Cloud-Infrastruktur
Parallel dazu beginnt UNC7005 Anfang August 2026 mit weiteren Google OAuth-Kampagnen. Hier wird offenbar Cloud-Infrastruktur genutzt, um nach Authentifizierung Token abzugreifen und Konten zu übernehmen. In diesem Zusammenhang werden Domains beschrieben, die eine finnische Organisation im Kontext von Sicherheits- und Verteidigungsmarktaktivitäten nachahmen.
Betroffene sollen per gezielter Phishing-Mail auf eine Angreifer-Domain gelenkt werden. Von dort werden sie auf eine legitime Google-OAuth-Loginseite geführt, wo sie sich anmelden. Anschließend werden sie zu einem unvalidierten Cloud-Projekt weitergeleitet, dessen Inhalte darauf ausgelegt sind, Authentifizierungsdaten zu stehlen.
Warum diese Angriffe besonders schwer zu verfolgen sind
Die Forschenden betonen, dass die Kombination aus realen Authentifizierungsfunktionen und täuschend echten Oberflächen die Erkennung erschwert. Wenn Token-Diebstahl direkt nach einem scheinbar korrekten Login erfolgt, wird der Ablauf aus Sicht des Opfers schnell plausibel.
Darüber hinaus können die Angreifer den Zugriff auf kompromittierte Konten nutzen, um weitere Ziele zu täuschen. Das verbessert die Reichweite, weil Nachrichten anschließend scheinbar „aus legitimen Konten“ heraus versendet werden.
CaptiveCrunch und mögliche Supply-Chain-Verknüpfungen
Im Bericht wird zudem eine Kampagne namens CaptiveCrunch aufgegriffen. Diese zielt auf captive Wi‑Fi-Portale ab, etwa in Hotels, Konferenzzentren und Flughäfen. Ziel ist es, Nutzer verdeckt auf Infrastruktur der Angreifer umzuleiten, um Credentials abzugreifen.
Das funktioniert unter anderem durch das Erlangen administrativer Kontrolle über WLAN-Gateways und durch technische Umleitungen wie DNS-Poisoning. So soll normaler Webseitenverkehr so angepasst werden, dass Verbindungen über Angreifer-Systeme laufen, selbst wenn legitime Domainnamen im Hintergrund genutzt werden.
Außerdem wird beschrieben, dass der Ansatz mit sogenannten „doppelgängerischen“ Domains kombiniert werden kann. Dabei werden Microsoft-Onlinedienste nachgeahmt, um später Phishing-Angriffe zu ermöglichen, die den Device-Code-Authentifizierungsfluss in Microsoft Entra ID missbrauchen.
Die Forscher stellen außerdem eine Verbindung zu möglichen Supply-Chain-Vorfällen her: Es wird die Möglichkeit diskutiert, dass Managed Service Provider (MSPs) kompromittiert wurden und die Vertrauensbeziehung zu Kunden anschließend missbraucht werden konnte. So könnten Angreifer etwa Reisende über manipulierte DNS-Anfragen an kompromittierten Routern gezielt abfangen und sie zu OAuth-Token-Diebstahl-Portalen leiten oder Infostealer ausspielen.
Praktische Lehren für Unternehmen und Nutzer
Auch wenn die Details je Kampagne variieren, lassen sich einige klare Schutzprinzipien ableiten:
- Vorsicht bei Login-Weiterleitungen: Prüfen Sie, ob URLs und Absender zu der Situation passen – besonders nach „Continue with Google“.
- Kein Code-Sharing: Geben Sie keine Verifizierungscodes oder vollständigen URLs weiter, nur weil eine Seite es „für die Anmeldung“ verlangt.
- Geräteverknüpfungen bewusst freigeben: WhatsApp-Links und QR-Verknüpfungen sollten nur aus legitimen Kontexten erfolgen. Im Zweifel abbrechen und manuell prüfen.
- Mehrschichtige Sicherheitsmaßnahmen: Reduce die Auswirkungen, indem Konten durch Richtlinien, risk-based Sign-in und zusätzliche Schutzmechanismen abgesichert werden.
Gerade bei Zielen in sensiblen Bereichen zeigt sich: Angriffe werden oft nicht als „klassisches Phishing“ erkannt, sondern als reale Authentifizierungsroutine getarnt. Eine konsequente Überprüfung der Abläufe hilft, den entscheidenden Moment zu schützen – bevor Tokens oder Verknüpfungen ausgelöst werden.
Fazit: Google OAuth & WhatsApp-Links bleiben ein bevorzugter Hebel
Die aktuellen Erkenntnisse zeigen, dass mutmaßliche Akteursgruppen Google OAuth & WhatsApp-Links gezielt als Hebel einsetzen, um Kontoübernahmen zu ermöglichen. Von selektivem App-Password-Phishing über OAuth-Umleitungen bis hin zu täuschend echten WhatsApp-Geräteverknüpfungen reicht das Spektrum. Gemeinsam ist allen Varianten: Sie bauen auf vertraute Authentifizierungsschritte und nutzen diese, um Zugriff zu erlangen.
Wer betroffen ist oder gezielt schützen möchte, sollte Authentifizierungsflows und Geräteverknüpfungen besonders kritisch prüfen. So sinkt das Risiko, dass aus einem scheinbar normalen Klick ein Token-Diebstahl oder eine kompromittierte Kontoverbindung wird.
Quelle: https://thehackernews.com/2026/08/suspected-russian-hackers-abuse-google.html
