Russische Hacker-Cluster: WhatsApp und Microsoft im Visier
Veröffentlicht am: 21.08.2026 um 14:07 Uhr | Redaktion boerse-global.de
Die Google Threat Intelligence Group (GTIG) hat eine detaillierte Warnung vor koordinierten Hackerangriffen herausgegeben, bei denen gezielt legitime Anmeldefunktionen missbraucht werden.
Berichten zufolge nutzen russische Akteure manipulierte Login-Anfragen, um die Konten von WhatsApp- und Microsoft-Nutzern zu kapern. Die Experten ordnen diese Aktivitäten drei spezifischen russischen Clustern zu, die unter den Bezeichnungen UNC6293, UNC7005 und UNC5976 geführt werden.
Raffinierte Phishing-Methoden gegen Hochwertziele
Im Zentrum der Beobachtungen steht insbesondere das Cluster UNC7005. Diese Gruppierung setzt auf sogenanntes Device-Code-Phishing, um Zugriff auf die Kommunikation von Opfern zu erhalten. Dabei kommen gefälschte WhatsApp-Seiten zum Einsatz, die darauf ausgelegt sind, den Anmeldeprozess zu imitieren und Nutzer zur Preisgabe ihrer Zugangsdaten oder zur Autorisierung fremder Geräte zu verleiten.
Ein wesentliches Element dieser Strategie ist der Missbrauch der WhatsApp-Funktion zum Verknüpfen neuer Geräte (Device-Linking) sowie die Ausnutzung von OAuth-Flows.
Durch die Übernahme der Konten erlangen die Angreifer weitreichende Befugnisse. Laut der Analyse der GTIG sind die Hacker in der Lage, über die kompromittierten Zugänge sowohl die Kamera als auch das Mikrofon der betroffenen Endgeräte für Spionagezwecke zu nutzen.
Angesichts der Zunahme von gehackten Konten in Deutschland wird der Schutz der eigenen Online-Identität immer wichtiger. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie WhatsApp oder Amazon einrichten und sich so effektiv vor Phishing schützen. Passkey-Ratgeber kostenlos herunterladen
Die Angriffe beschränken sich dabei nicht nur auf Software-Manipulationen; in einigen Fällen wurde auch die Nutzung von Hotel-WLAN-Netzwerken beobachtet, um Angriffe gegen Reisende einzuleiten.
Einsatz spezialisierter Schadsoftware
Zur langfristigen Sicherung des Zugriffs und zur weiteren Infiltration von Systemen setzt das Cluster UNC7005 gezielt Schadsoftware ein. Dabei zeigen die Akteure eine hohe Anpassungsfähigkeit an unterschiedliche Betriebssysteme: Während für Angriffe auf Windows-Systeme die Malware VIDAR verwendet wird, kommt bei Angriffen auf macOS-Nutzer die Schadsoftware ATOMIC zum Einsatz.
Die Aktivitäten der drei russischen Spionage-Cluster konzentrieren sich im Zeitraum von 2025 bis 2026 vor allem auf Ziele mit strategischer Bedeutung. Im Visier stehen staatliche Einrichtungen, Verteidigungs- und Militärorganisationen sowie Akteure aus der Luftfahrt und der Wissenschaft. Regional liegen die Schwerpunkte der Angriffsberichte auf Europa und den Vereinigten Staaten.
Da herkömmliche Passwörter oft ein Sicherheitsrisiko darstellen, setzen immer mehr Nutzer auf moderne Authentifizierungsmethoden per Fingerabdruck oder Gesichtserkennung. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie die neue Technologie nutzen, um Hackern keine Chance mehr zu lassen. Sichere Alternative zu Passwörtern jetzt gratis nachlesen
Systematischer Missbrauch von Authentifizierungsdiensten
Neben UNC7005 verfolgt die Google Threat Intelligence Group auch die Aktivitäten von UNC6293 und UNC5976. Alle drei Gruppierungen zeichnen sich dadurch aus, dass sie verstärkt auf den Missbrauch rechtmäßiger Authentifizierungsprozesse setzen.
Dazu gehört neben dem OAuth-Phishing auch die gezielte Verwendung von App-Passwörtern, um herkömmliche Sicherheitsbarrieren zu umgehen. Die Experten mahnen zur erhöhten Wachsamkeit, da die Angreifer durch die Nutzung legitimer Funktionen oft schwerer von gewöhnlichen Nutzeraktivitäten zu unterscheiden sind.
