Russische Hacker: Google warnt vor Angriffen auf OAuth und WhatsApp
Veröffentlicht am: 21.08.2026 um 17:43 Uhr | Redaktion boerse-global.de
Die Google Threat Intelligence Group (GTIG) warnt vor einer Serie gezielter Cyber-Angriffe durch drei mutmaßlich russische Spionage-Cluster. Nach Analysen der Sicherheitsexperten missbrauchen die Akteure gezielt legitime Authentifizierungsabläufe wie OAuth, App-Passwörter und Geräteverknüpfungen, um Zugriff auf geschützte Konten zu erhalten.
Die Angriffe richten sich primär gegen Akteure aus der Wissenschaft, der Luft- und Raumfahrt sowie gegen Regierungsmitarbeiter und Think Tanks in Europa und den USA.
Die Experten der GTIG stufen die Verbindung dieser Aktivitäten zu russischen Stellen mit hoher Zuversicht ein. Durch den Missbrauch offizieller Anmeldeverfahren gelingt es den Angreifern, die gängige Zwei-Faktor-Authentifizierung (2FA) zu umgehen. Betroffen sind unter anderem Diplomaten, Verteidigungspersonal und Forscher, deren Konten vollständig übernommen wurden.
Die Taktiken der identifizierten Bedrohungsgruppen
Die GTIG führt die Angriffe auf drei spezifische Cluster zurück, die jeweils unterschiedliche Schwerpunkte und Methoden verfolgen. Der Cluster UNC6293, dem Verbindungen zur Gruppe ICE RELIC beziehungsweise APT29 zugeschrieben werden, agiert bereits seit Juni 2025. Diese Gruppe tarne sich unter anderem als das US-Außenministerium und nutze Phishing-Methoden, um App-Passwörter abzugreifen.
Ein weiterer Akteur, der als UNC7005 (auch bekannt unter der Bezeichnung STORM-2945) identifiziert wurde, ist seit Februar 2026 aktiv. Diese Gruppe spezialisiere sich auf Gerätecode-Phishing gegen Microsoft- und WhatsApp-Konten. Im Mai 2026 täuschten die Angreifer das GLOBSEC-Forum vor, um Opfer zu manipulieren.
Die massiven Angriffe auf WhatsApp und Microsoft-Konten zeigen, wie verwundbar herkömmliche Passwörter heute sind. Ein kostenloser Report erklärt die sichere Alternative, die Hackern keine Chance mehr lässt und bei Diensten wie WhatsApp oder Amazon sofort eingerichtet werden kann. Sicher und passwortlos: Jetzt Gratis-Report sichern
Bei den Angriffen von UNC7005 komme zudem Schadsoftware wie VIDAR, ATOMIC, ENGINELIGHT und CHERRYPIE zum Einsatz. Die eingesetzten Codes seien in der Lage, Audio- und Videodaten aufzuzeichnen sowie unbefugten Zugriff auf Kameras und Mikrofone der betroffenen Geräte zu erlangen.
Zwischen Mai und Juni 2026 nutzte dieser Cluster verstärkt die WhatsApp-Geräteverknüpfung für seine Zwecke. Zuletzt wurde im August 2026 eine OAuth-Phishing-Kampagne gegen das finnische Operations Center beobachtet.
Missbrauch von Autorisierungsschnittstellen
Der dritte Cluster, UNC5976, ist seit März 2026 aktiv. Diese Gruppe setzt vorrangig auf OAuth-Phishing, um sich dauerhaften Zugriff auf Konten zu verschaffen, ohne Passwörter stehlen zu müssen. Dabei werde die Schadsoftware HEADRUSH an die Zielsysteme ausgeliefert.
Angesichts von Millionen gehackter Konten pro Quartal wird deutlich, dass neue Schutzmethoden für den digitalen Alltag unverzichtbar sind. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie sich per Fingerabdruck oder Gesichtserkennung sicher anmelden und so Phishing-Versuche ins Leere laufen lassen. Kostenlosen Ratgeber zur passwortlosen Anmeldung herunterladen
Durch die Erteilung von Berechtigungen über legitime OAuth-Schnittstellen können die Angreifer die Sicherheitsmechanismen vieler Plattformen umgehen, da die Autorisierung vom Nutzer selbst – wenn auch unter Vorspiegelung falscher Tatsachen – bestätigt wird.
Empfehlungen zur Absicherung und Identifikatoren
Zur Abwehr dieser Spionageaktivitäten empfiehlt die Google Threat Intelligence Group technische Schutzmaßnahmen. Anwender und Organisationen sollten vorzugsweise Hardware-Sicherheitsschlüssel einsetzen, da diese gegen die beschriebenen Phishing-Methoden resistenter seien als softwarebasierte Lösungen. Zudem sei eine regelmäßige Überwachung aktiver OAuth-Autorisierungen und eine kritische Prüfung aller mit den Konten verbundenen Geräte erforderlich.
Die GTIG veröffentlichte im Zuge ihres Berichts zudem konkrete Indikatoren für eine Kompromittierung (Indicators of Compromise, IOCs). Dazu gehören die Domains dosportal.app und foreignrelations.us sowie die IP-Adressen 107.189.18.7 und 196.251.107.171. Ebenfalls als verdächtig eingestuft wurde die Domain fewfwfwfwfwf.info. Organisationen wird geraten, ihre Netzwerkprotokolle auf diese Merkmale hin zu untersuchen, um potenzielle Infektionen frühzeitig zu erkennen.
