UNC1069-Hacker kapern Rechner über gefälschte Google-Meet-Links

Sicherheitsexperten warnen vor einer neuen Angriffswelle der mutmaßlich nordkoreanischen Gruppe UNC1069, die über gefälschte Videocall-Einladungen Administratorzugriff erlangt.

Sicherheitsforscher warnen vor einer neuen Angriffswelle. Die mutmaßlich nordkoreanische Hackergruppe UNC1069 lockt Opfer mit gefälschten Videocall-Einladungen auf täuschend echte Google-Meet- und Teams-Seiten. Dort zwingt ein angebliches „Update“ die Nutzer in die Falle.

Die perfide Masche: Vertrauen wird missbraucht

Die Angreifer nutzen kompromittierte Konten bei LinkedIn oder Telegram, um alte Gespräche wiederzubeleben. Sie schlagen ein neues Geschäftstreffen vor und schicken einen Link – etwa zu onlivemeet[.]com. Die Seite sieht aus wie die echte Videokonferenz-Plattform, nutzt sogar seriöse Terminplaner wie Calendly.

Anzeige

Ob im Homeoffice oder im Büro – die Gefahr durch gefälschte Videocalls und Phishing-Links nimmt drastisch zu. Dieses kostenlose Anti-Phishing-Paket zeigt Ihnen in 4 Schritten, wie Sie psychologische Manipulationstaktiken entlarven und Ihr Unternehmen wirksam absichern. Kostenlosen Leitfaden zur Hacker-Abwehr jetzt herunterladen

Doch der Beitritt zum Meeting schlägt fehl. Stattdessen erscheint eine Fehlermeldung: Ein dringendes Sicherheitsupdate oder ein neues Software-Development-Kit (SDK) müsse installiert werden. Wer hier klickt, übergibt die Kontrolle über seinen Rechner.

MDM-Enrollment: Hacker werden zu Admins

Ein besonders tückischer Angriffsweg nutzt eine legitime Windows-Funktion. Statt eine Malware-Datei zu laden, triggert der Klick einen ms-device-enrollment:-Link. Das ist der Befehl für die Mobile-Device-Management-Registrierung (MDM), mit der Firmen-IT Abteilungen Rechner fernverwalten.

Im Angriffsfall meldet sich der private oder geschäftliche PC aber bei einem Server der Hacker an. Diese erhalten damit Administrator-Rechte: Sie können Software installieren, Dateien auslesen oder das Gerät komplett sperren. Herkömmliche Antivirenprogramme schlagen nicht an – das Betriebssystem selbst führt die Befehle eines „bösartigen Admins“ aus.

ClickFix: Der gefährliche Helpdesk-Trick

Parallel grassiert die sogenannte ClickFix-Taktik. Auf der Fake-Seite erscheint eine Fehlermeldung zu Mikrofon oder Kamera. Zur Fehlerbehebung soll der Nutzer „Windows+R“ drücken und einen Code einfügen.

Diesen Code hat die Webseite jedoch bereits als bösartigen PowerShell-Befehl in die Zwischenablage kopiert. Durch das manuelle Ausführen lädt der Nutzer selbst Infostealer wie Stealc nach, die nach Krypto-Wallets und Passwörtern suchen. Diese Methode umgeht oft Browser-Sicherheitswarnungen.

Anzeige

Da Hacker verstärkt auf Social Engineering setzen und legitime Systemfunktionen missbrauchen, wird der klassische Passwortschutz immer unsicherer. Erfahren Sie in diesem Experten-Report, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, Microsoft und WhatsApp ohne klassisches Passwort und damit deutlich sicherer schützen. Gratis-Report: Passwortlose Anmeldung jetzt einrichten

So schützen Sie sich vor den Angriffen

Die Tech-Konzerne reagieren: Apple warnt in macOS Tahoe 26.4 nun vor ClickFix-Aktivitäten. Microsoft arbeitet an Schutzmaßnahmen für den Edge-Browser. Experten raten Nutzern zu absoluter Skepsis:

• Nie Updates über Pop-ups installieren: Laden Sie Software nur aus offiziellen Stores oder von den Hersteller-Webseiten.
• Befehle nie blind kopieren: Eine Aufforderung, Code in Terminal oder „Ausführen“ einzufügen, ist immer ein Betrugsversuch.
• MDM-Profile prüfen: Unter Systemeinstellungen bei „Konten“ oder „Profile“ nach unbekannten Verwaltungseinheiten suchen.
• Zwei-Faktor-Authentifizierung nutzen: Hardware-Keys (FIDO2) bieten trotz gestohlener Session-Tokens noch Schutz.

Browser werden zum neuen Schlachtfeld

Der Trend ist klar: Statt klassischer Viren setzen Hacker immer mehr auf Social Engineering, das legitime Systemfunktionen kapert. Betrugsversuche mit gefälschten Browser-Updates stiegen laut einem Report zuletzt um das 17-Fache.

Die Grenze zwischen Fernwartung und Hacker-Angriff verschwimmt. Für Unternehmen heißt das: Sie müssen von dateibasierter auf verhaltensbasierte Erkennung umstellen. Für jeden Nutzer bleibt Misstrauen die wichtigste Waffe – besonders bei unerwarteten Tech-Problemen im Videocall.