Smartphone-Angriffe: APT29 stiehlt Cookies und WLAN-Passwörter ohne Klick
Veröffentlicht am: 04.11.2026 um 16:45 Uhr | Redaktion boerse-global.de
Cyberkriminelle greifen laut einer Analyse des Sicherheitsunternehmens Sekoia gezielt Smartphones an, um ohne jegliche Interaktion der Nutzer sensible Informationen abzugreifen. Betroffen sind sowohl iPhones als auch Android-Geräte.
Bei den Angriffen kommen bekannte Sicherheitslücken zum Einsatz, für die bereits Aktualisierungen bereitstehen. Das Ziel der Angreifer besteht vor allem darin, Browser-Cookies, Gerätedaten und teils auch gespeicherte WLAN-Passwörter zu erbeuten.
Sekoia ordnet die Kampagne mit mittlerer bis hoher Konfidenz der staatlichen russischen Hackergruppe APT29 zu, die auch unter den Namen Midnight Blizzard, Cozy Bear oder SVR bekannt ist. Die Sicherheitsforscher entdeckten die Aktivitäten Mitte Oktober 2026. Der Fokus der Akteure liege auf der nachrichtendienstlichen Informationsbeschaffung.
Da gestohlene Browser-Cookies einen unbefugten Zugriff auf Webmail-Dienste, Cloud-Umgebungen und interne Firmenportale ermöglichen, können die Angreifer Authentifizierungen wie Passwörter oder die Zwei-Faktor-Authentisierung umgehen.
Drei Wege zur Verbreitung von Schadcode
Die Angreifer nutzen nach Angaben des Sicherheitsdienstleisters drei primäre Infektionsvektoren. Neben gefälschten Internetseiten, sogenannten Lookalike-Domains, wurden legitime Webseiten manipuliert.
Zudem registrierte das Team einen Angriff auf die Lieferkette eines Webdienstes: Zwischen dem 27. August 2026 und dem 3. September 2026 wurde der SEO-Tracker des Anbieters Plerdy über die Datei a.plerdy[.]com/public/js/click/main.js mit Schadcode versehen.
Dieses Skript wurde auf tausenden, größtenteils ukrainischen Webseiten geladen. Auch die Kompromittierung eines ukrainischen Analysedienstes schleuste Schadcode auf hunderte Webangebote ein.
Zu den kompromittierten Internetauftritten gehörten unter anderem die Seiten eines ukrainischen Gasproduzenten, eines US-Chemieverbands, einer bulgarischen Militärpräsenz, einer rechtsextremen europäischen Partei, einer tschechischen rechtsextremen Bewegung sowie einer australischen Arztpraxis.
Darüber hinaus wurden gefälschte Auftritte für die Initiative America250 – etwa unter der Domain america250[.]holiday – und für das Hotel Raffles London at The OWO aufgesetzt. Laut Sekoia-Forscher Amaury-Jacques Garçon wirken die gewählten Ziele gestreut, was zu der See eines stark individualzentrierten Vorgehens passe.
Spezifische Angriffsketten für iOS und Android
Viele Smartphone-Nutzer übersehen nach dem Einspielen neuer Software oft kritische Sicherheitsvorkehrungen. Wie Sie Ihre Daten auf dem iPhone mit wenigen Klicks wirksam schützen, erklärt ein Apple-Experte in diesem kostenlosen Ratgeber. iOS-Sicherheitscheck jetzt gratis herunterladen
Je nach aufgerufenem Betriebssystem greifen unterschiedliche Angriffsketten. Die Kette der Klasse A zielt auf das System iOS 16.7 ab und nutzt die Schwachstellen CVE-2025-43529 sowie CVE-2024-27834, um gezielt Safari-Cookies auszulesen.
Für iOS 18.5 setzten die Angreifer eine als DarkSword bezeichnete Kette der Klasse B ein, die sich über die Lücken CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520 Zugriff verschafft. Dadurch können Angreifer nahezu sämtliche Gerätedaten abziehen, darunter SMS, iMessage- und Chat-Datenbanken von WhatsApp und Telegram, Schlüsselbunddaten, E-Mails, Notizen, Fotos, den Standort sowie Daten aus Health und iCloud Drive.
Unter Android greift die Kette der Klasse C Nutzer des Chrome-Browsers der Versionen 139 bis 145 an, wobei Version 143 ausgenommen ist. Über die Sicherheitslücken CVE-2026-3910 und CVE-2025-27038 wird die Spionagesoftware AndroSnitch nachgeladen, die Chrome-Cookies, Logindaten, den Browserverlauf sowie WLAN-Passwörter sammelt. Auf einem Samsung Galaxy S25 Ultra (SM-S938B) bricht die Android-Kette den Analysen zufolge ab.
Für das Erfassen von Gerätemerkmalen kommt das Werkzeug UltimateFingerprinter zum Einsatz, das 394 Datenfelder registriert. Der Daten abfluss erfolgt laut Sekoia an die Adresse ad.starx-net[.]com:8881/telemetry/v12.
Wer sein Android-Gerät täglich für Banking oder WhatsApp nutzt, sollte die Risiken durch veraltete Software nicht unterschätzen. Dieser kostenlose PDF-Report zeigt fünf einfache Schritte, mit denen Sie Ihr Smartphone sofort gegen Hacker und Datenmissbrauch absichern. Gratis-Schutzmaßnahmen für Android entdecken
Keine dauerhafte Infektion bei Neustart
Die eingesetzten Schadprogramme verfügen über keine Mechanismen zur dauerhaften Verankerung im System. Ein gewöhnlicher Neustart des Smartphones beendet die Infektion vollständig. Da alle ausgenutzten Schwachstellen vor Beginn der Kampagne von Apple und Google geschlossen wurden, sind aktualisierte Geräte gegen die Angriffe geschützt.
Um die Angreiferinfrastruktur zu schwächen, hat das Sicherheitsunternehmen das ukrainische Notfallteam CERT-UA sowie 25 beteiligte Hostinganbieter kontaktiert, um eine Abschaltung der schädlichen Server zu erwirken.
