Drei mit Russland verbundene Cluster setzen OAuth, WhatsApp und Malware gegen westliche Ziele ein

Phishing ohne offensichtlich gefälschte Login-Seiten

Die Google Threat Intelligence Group hat drei mutmaßlich mit Russland verbundene Cyber-Spionage-Cluster beschrieben: UNC6293, UNC7005 und UNC5976. Die Kampagnen richten sich gegen Forschende, Wissenschaftler, Regierungsbeamte, Thinktank-Analysten und Beschäftigte der Verteidigungsbranche in Europa und den USA.

Der Bericht wurde am 21. August 2026 veröffentlicht. Die untersuchten Operationen haben ein gemeinsames Merkmal: Statt einfach auf klar erkennbare gefälschte Login-Seiten zu setzen, missbrauchen die Angreifer legitime Anmelde- und Freigabeverfahren.

Zum Einsatz kommen App-Passwörter, OAuth-Berechtigungen, Gerätecodes, WhatsApp-Konten und Cloud-Authentifizierungsseiten. Für die betroffene Person kann der Vorgang regulär wirken: Die Domain erscheint plausibel, die Authentifizierung erfolgt über einen bekannten Dienst und die Anfrage ist in eine sorgfältig vorbereitete Konversation eingebettet.

Auch die Sichtbarkeit für Unternehmen ist problematisch. Der Erstkontakt kann über ein persönliches Konto erfolgen, das nicht mit der Unternehmensdomain verbunden ist und daher von herkömmlichen E-Mail-Kontrollen nicht erfasst wird. Die mögliche Nutzung verschlüsselter Messenger erschwert es zusätzlich, den Angriff vor der Kompromittierung zu erkennen.

UNC6293 setzt auf App-Passwörter und OAuth-Token

UNC6293 ist der am längsten dokumentierte und am präzisesten zugeordnete Cluster. Google geht mit mittlerer Zuversicht davon aus, dass es sich um eine Untergruppe von ICE RELIC, auch bekannt als APT29, handelt, die bei Initial-Access-Operationen aktiv ist.

Die Gruppe nimmt meist weniger als fünf Opfer gleichzeitig ins Visier. Die Köder beziehen sich häufig auf bevorstehende diplomatische Veranstaltungen oder Konferenzen. Seit der ersten Dokumentation im Juni 2025 hat sich UNC6293 als US-Beamte des Außenministeriums ausgegeben.

Die Opfer wurden aufgefordert, ein bestimmtes App-Passwort einzurichten. Der von den Angreifern vorgegebene Wert wurde der kontaktierten Person direkt mitgeteilt. Nach der Einrichtung ermöglichte das Passwort den Kontozugriff, ohne dass die Zwei-Faktor-Authentifizierung ausgelöst wurde.

Die Methode ist besonders perfide, weil nicht zwangsläufig das eigentliche Passwort gestohlen werden muss. Der Angreifer missbraucht eine legitime Kontofunktion und schafft so einen alternativen, schwerer erkennbaren Zugangsweg.

Im Oktober 2025 verwendete die Gruppe bereits in den Juni-Ködern eingesetzte Seiten erneut, einschließlich des Verweises auf ms.state.gov, und änderte lediglich den umgebenden Text. Im Juni 2026 ergänzte UNC6293 seine Kampagnen um OAuth-basierte Angriffe.

Nach der Anmeldung bei einem legitimen Dienst wurden die Opfer aufgefordert, eine URL oder einen „Bestätigungscode“ weiterzugeben. Ziel war der Diebstahl gültiger Token. Die Authentifizierung wirkte korrekt, doch der anschließende Schritt ermöglichte es den Angreifern, die erforderliche Berechtigung für Kontoaktivitäten zu erlangen.

UNC7005 kombiniert Gerätecodes, WhatsApp und Infostealer

UNC7005, von Microsoft als STORM-2945 bezeichnet, wurde erstmals im Februar 2026 beobachtet. Auch dieser Cluster gilt als mit ICE RELIC verbunden, wobei Google ihn im Vergleich zu UNC6293 als weniger ausgefeilt und operativ weniger diszipliniert einstuft.

Seine Aktivitäten sind jedoch umfangreicher. Dazu gehören Phishing mit App-Passwörtern, Gerätecodes für Microsoft-Konten und WhatsApp, OAuth-Kampagnen, Malware sowie gefälschte Einladungen zu Konferenzen oder Telefonaten mit für die Opfer relevanten Organisationen.

Ein repräsentativer Fall betraf das für Mai 2026 geplante Forum GLOBSEC. UNC7005 erstellte eine Seite, die eine Veranstaltungseinladung imitierte und detaillierte Registrierungsdaten abfragte, darunter die Weinauswahl für ein fingiertes Abendessen.

Am Ende des Vorgangs zeigte die Website einen Microsoft-Gerätecode an, der eingegeben werden sollte. Das Formular enthielt weiterhin den Hinweis auf die „Embassy security policy“, der aus einem früheren Köder stammte. Nach der Meldung der Seite änderte die Gruppe das Template innerhalb weniger Tage und begründete dies mit angeblichen „technischen Schwierigkeiten“.

Die gegen WhatsApp gerichteten Operationen folgten einer ähnlichen Logik. Die Opfer wurden aufgefordert, an einem Anruf teilzunehmen, einen verschlüsselten Chat zu öffnen oder ein Dokument herunterzuladen. Die Seite verlangte, das Konto mit einem von den Angreifern kontrollierten Gerät zu verknüpfen.

In einigen Fällen forderte bösartiges JavaScript zusätzlich Zugriff auf Mikrofon und Kamera an. Erteilte der Nutzer die Berechtigungen, zeichnete der Browser Bilder und Ton auf und übermittelte sie an die Angreifer.

Zwischen Ende Mai 2026 und Juni 2026 führte UNC7005 Social-Engineering-Kampagnen gegen Diplomaten, US-Wissenschaftler und Russland-Forschende durch. Eine größere Kampagne bot eine gefälschte Anwendung namens Summit Companion App an, die als Werkzeug zum Lesen eines Dokuments zur Unterstützung der Ukraine präsentiert wurde.

Die Datei verteilte VIDAR an Windows-Nutzer und ATOMIC, auch bekannt als AtomicStealer, an macOS-Nutzer. Beide sind kommerzielle Infostealer, die als Dienst angeboten werden. VIDAR kann gespeicherte Browser-Anmeldedaten, Cookies und Zahlungsinformationen stehlen; ATOMIC ist darauf ausgelegt, ähnliche Daten auf Apple-Systemen zu sammeln.

Keines der beiden Tools wurde speziell für diese Operation entwickelt. Die in der Kampagne verwendete E-Mail-Adresse war zudem nahezu identisch mit einer Adresse, die UNC6293 im Vorjahr eingesetzt hatte.

Hotel-Infrastruktur und möglicherweise von einem LLM generierter Code

Google ordnet auch die Kampagne gegen Captive Portals von Hotels und Kongresszentren direkt UNC7005 zu. Die Aktivitäten waren bereits von Reliaquest und Microsoft gemeldet und Midnight Blizzard zugeschrieben worden.

Die Infrastruktur lässt sich bis April 2026 zurückverfolgen, als Domains auftauchten, die Microsoft-Authentifizierungsressourcen imitierten. Google Safe Browsing nahm die Domains nach und nach in seine Sperrlisten auf. Bis Mitte Juli 2026 erhielten sie Weiterleitungen von Captive Portals in Hotels und Kongresszentren.

Die Analyse der IP-Adressen verbindet diese Infrastruktur mit der GLOBSEC-Operation auf Basis von Gerätecodes sowie mit ENGINELIGHT, einer in Go geschriebenen Malware, die bei einer separaten und begrenzten UNC7005-Operation im Mai 2026 eingesetzt wurde.

Der Cluster verwendete außerdem CHERRYPIE, auch bekannt als ChocoShell, einen PowerShell-Infostealer. Die analysierten Dateien enthalten Kommentare und Verweise, die offenbar mit von künstlicher Intelligenz erzeugtem Code vereinbar sind. Google hält daher den Einsatz eines LLM bei der Malware-Entwicklung für möglich.

CHERRYPIE sammelt teilweise dieselben Daten wie kommerzielle Infostealer. Es könnte sich daher um eine angepasste Variante eines Malware-as-a-Service-Tools handeln. Diese Einschätzung bestätigt jedoch nicht die Herkunft des Codes.

UNC5976 nimmt Verteidigungsorganisationen sowie Einrichtungen mit Bezug zur Ukraine und Armenien ins Visier

UNC5976 unterscheidet sich am deutlichsten von den beiden anderen Clustern. Die Gruppe konzentriert sich auf militärische, luft- und raumfahrtbezogene Organisationen, Unternehmen der verteidigungsindustriellen Basis sowie NGOs, insbesondere in der Ukraine und Armenien.

Ihre OAuth-Operationen sind stärker automatisiert. Die Gruppe registriert Domains im Zusammenhang mit Dateifreigaben, erstellt Google-Cloud-Projekte für diese Domains und verwendet in der Cloud gehostete Skripte. Das Opfer sieht innerhalb einer gefälschten Filesharing-Seite eine scheinbare Google-Anmeldemaske; die Anmeldung ermöglicht es den Angreifern, Authentifizierungstoken zu stehlen.

Nachdem Google die Infrastruktur unterbrochen hatte, erstellte UNC5976 innerhalb von drei Monaten mindestens zwölf neue Domains und begann, zu Hosting-Anbietern außerhalb des Google-Ökosystems zu wechseln. Dies zeigt, wie schnell die Operationen wiederhergestellt werden können.

Im April 2026 verteilte der Cluster HEADRUSH, ein bösartiges Excel-Add-in, über eine Domain, die ein ukrainisches Forschungsinstitut imitierte. Mögliches Ziel war ein ukrainisches Unternehmen aus den Bereichen Luft- und Raumfahrt sowie Bildgebung.

HEADRUSH führt schließlich zu einem HTA-Downloader. Die vollständige Infektionskette konnte jedoch nicht rekonstruiert werden.

So lässt sich das Kompromittierungsrisiko senken

Nutzer sollten auf Aufforderung Dritter keine App-Passwörter erstellen. Bereits vorhandene, unbekannte App-Passwörter sollten widerrufen werden. Außerdem sollten regelmäßig die mit WhatsApp verknüpften Geräte überprüft werden.

Eine über eine unaufgeforderte Nachricht erhaltene OAuth-Anfrage ist grundsätzlich verdächtig – auch wenn die Seite professionell aussieht oder einen bekannten Dienst nutzt. Dasselbe gilt für Einladungen zu Konferenzen, Anrufen und Dokumentfreigaben, bei denen Gerätecodes eingegeben oder neue Geräte verknüpft werden sollen.

Mikrofon- und Kamerazugriff sollten nicht für ungeprüfte Seiten freigegeben werden. Über Veranstaltungen, Institutionen oder bekannte Organisationen verteilte Anwendungen sollten ausschließlich aus offiziellen Quellen heruntergeladen werden.

Für besonders gefährdete Personen blockiert das Google Advanced Protection Program die Erstellung von App-Passwörtern vollständig. Unternehmen sollten – sofern es ihre Richtlinien erlauben – persönliche Konten für sensible Aktivitäten, OAuth-Zustimmungen, verknüpfte WhatsApp-Geräte sowie Domains überwachen, die Microsoft, Google, diplomatische Institutionen, Konferenzen oder Forschungseinrichtungen imitieren.

Es ist nicht bekannt, ob diese Aktivitäten mit konkreten Software-Schwachstellen oder Einträgen im CISA-Katalog KEV verbunden sind. Das Risiko entsteht vor allem durch den Missbrauch legitimer Mechanismen. Dadurch können Kompromittierungen den herkömmlichen Sicherheitskontrollen von Unternehmen entgehen.