Poisoned Source: Besuch präparierter Websites genügte für Smartphone-Angriff
Veröffentlicht am: 08.11.2026 um 12:24 Uhr | Redaktion boerse-global.de
Das Cybersicherheitsunternehmen Sekoia hat am 4. November 2026 einen detaillierten Untersuchungsbericht zu einer Spionageoperation namens Poisoned Source vorgelegt. Die Experten schreiben die Kampagne mit mittlerer bis hoher Konfidenz der Hackergruppe APT29 oder einer ihrer Untergruppen zu.
Die US-Regierung ordnet diese Gruppierung offiziell dem russischen Auslandsgeheimdienst SVR zu. Im Zentrum des Angriffs standen ausgefeilte Exploit-Ketten, mit denen Smartphones mit den Betriebssystemen iOS und Android kompromittiert werden sollten.
Infektion ohne Interaktion über manipulierte Websites
Die Kampagne wurde nach Angaben von Sekoia Mitte Oktober 2026 entdeckt. Die Angreifer setzten auf drei primäre Verteilungswege: eingeschleusten Schadcode auf legitimen Webseiten, gefälschte Reverse-Proxy-Seiten sowie einen manipulierten Analyse-Tracker.
Letzterer betraf den Webanalyse-Dienst Plerdy, dessen Code im Zeitraum vom 27. August bis zum 3. September 2026 kompromittiert war. Da dieser Tracker auf Tausenden von Websites vor allem in der Ukraine integriert war, schätzt Sekoia die Zahl der potenziell betroffenen Nutzer auf mehrere Tausend. Eine genaue Opferzahl nannten die Analysten nicht.
Für eine Infektion reichte der bloße Besuch einer präparierten Internetseite aus, ohne dass Anwender eine Datei herunterladen oder auf ein Element klicken mussten.
Zu den kompromittierten regulären Websites gehörten ein ukrainischer Gasproduzent, ein US-amerikanischer Chemieverband sowie eine bulgarische Militärorganisation. Parallel dazu erstellten die Akteure gefälschte Domänen wie america250[.]holiday sowie eine nachgeahmte Präsenz des Londoner Luxushotels Raffles London at The OWO.
In diesem Hotel nahe dem britischen Verteidigungsministerium hatte der ukrainische Präsident Wolodymyr Selenskyj am 14. Oktober 2026 übernachtet. Als wahrscheinliche Ziele dieses Teils der Kampagne gelten diplomatische Delegationen und hochrangige Gäste.
Spezifische Exploit-Ketten für verschiedene Systeme
Angesichts solch ausgefeilter Spionage-Methoden wird deutlich, wie verwundbar mobile Endgeräte im Alltag tatsächlich sind. Ein kostenloser Ratgeber zeigt Ihnen jetzt 5 einfache Schritte, mit denen Sie Ihr Android-Smartphone sofort wirksam gegen Hacker und Datenmissbrauch absichern können. 5 Schutzmaßnahmen jetzt entdecken
Vor dem eigentlichen Angriff prüfte ein System namens UltimateFingerprinter anhand von 61 Modulen und 394 Datenfeldern das jeweilige Zielgerät. Laut Sekoia gaben jedoch nur grundlegende Plausibilitätsprüfungen wie die Bildschirmabmessungen und Touchpunkte den Ausschlag für das Nachladen von Schadcode.
Die Angreifer setzten dabei drei unterschiedliche Ketten ein:
- iOS-Kette A: Richtete sich über Auslieferungsfilter gezielt an iOS 16.7 und 16.7.10, war nach Sekoia-Erkenntnissen technisch jedoch mit iOS 16.0 bis 17.4 kompatibel. Sie kombinierte die Schwachstellen CVE-2025-43529 und CVE-2024-27834 mit dem Ziel, Browser- und App-Cookies zu entwenden. Die US-Behörde CISA nahm CVE-2024-27834 am 4. November mit einer Behebungsfrist bis zum 18. November in ihren Katalog bekannter ausgenutzter Schwachstellen auf.
- iOS-Kette B („DarkSword“): Zielte auf Version iOS 18.5 ab und nutzte die Lücken CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 sowie CVE-2025-43520. Damit sollten umfassende Inhalte wie SMS, Nachrichten aus iMessage, Messenger-Datenbanken von WhatsApp und Telegram, E-Mails, Zugangsdaten, Tokens, Standortdaten sowie Fotos und Kontakte erbeutet werden.
- Android-Kette C („AndroSnitch“): Griff Chrome-Versionen von 139 bis 145 mit Ausnahme von Version 143 über die Schwachstellen CVE-2026-3910 und CVE-2025-27038 an. Diese zielte auf Cookies, Passwörter, Verläufe und WLAN-Daten ab, brach die Ausführung beim spezifischen Gerätemodell SM-S938B jedoch ab.
Aktualisierungen schützen vor Kompromittierung
Wer sich vor solchen gezielten Angriffen auf das eigene Smartphone schützen will, sollte die Sicherheit seines Geräts nicht dem Zufall überlassen. Erfahren Sie in diesem Gratis-PDF, wie Sie durch die richtigen Android-Updates Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Android-Update-Ratgeber herunterladen
Nach Einschätzung von Sekoia gibt es Hinweise darauf, dass die Akteure die Exploit-Ketten von kommerziellen Surveillance-Anbietern bezogen haben könnten. Eine dauerhafte Persistenz auf den Geräten richteten die Angreifer nicht ein; ein einfacher Neustart des Smartphones unterbricht die Infektion.
Zudem waren alle ausgenutzten Sicherheitslücken bereits vor Beginn der Kampagne von den Herstellern geschlossen worden. Vollständig aktualisierte Mobilgeräte waren dem Angriff somit nicht ausgesetzt.
