Pegasus trifft die serbische Studierendenbewegung mit einem Zero-Click-Exploit in iMessage

Ein kompromittiertes iPhone ohne Zutun des Opfers

Citizen Lab und die SHARE Foundation haben die Kompromittierung des iPhones eines Mitglieds der serbischen Studierendenbewegung durch Pegasus bestätigt – die von der NSO Group entwickelte kommerzielle Spyware.

Der Fall, der am 3. September 2026 bekannt wurde, betrifft mit hoher Wahrscheinlichkeit einen Zero-Click-Exploit, der über Apple iMessage verbreitet wurde. Mit dieser Technik lässt sich ein Gerät kompromittieren, ohne das Opfer dazu zu bringen, einen Anhang zu öffnen, einem Link zu folgen oder auf eine Nachricht zu antworten.

Die auf dem Telefon gefundenen forensischen Spuren decken den Zeitraum von Dezember 2025 bis Januar 2026 ab. Die Ermittler schließen jedoch nicht aus, dass weitere, bislang unentdeckte Infektionen stattgefunden haben.

Das genaue iPhone-Modell, die zum Zeitpunkt des Angriffs installierte iOS-Version und der exakte Tag der Kompromittierung sind nicht bekannt. Diese Informationen wären erforderlich, um die Infektionskette präziser zu rekonstruieren und zu verstehen, warum das Gerät weiterhin verwundbar war.

Der mit dem Fall in Verbindung gebrachte iMessage-Exploit wurde von Apple mit iOS 18.4.1 behoben, das im April 2025 veröffentlicht wurde. Der Patch liegt damit vor dem Zeitraum, den die forensischen Indikatoren abdecken. Ohne Kenntnis der Gerätekonfiguration lässt sich nicht feststellen, ob das Ziel eine ältere iOS-Version verwendete oder ob andere Faktoren eine Rolle spielten.

Für die Schwachstelle wurde keine CVE-Kennung veröffentlicht. Ebenso liegen keine Informationen darüber vor, ob sie in den Katalog der Known Exploited Vulnerabilities der CISA aufgenommen wurde.

Apple-Warnungen betrafen Nutzer in 110 Ländern

Die Untersuchung nahm ihren Ausgang nach einer neuen Welle von Warnungen, die Apple an Personen verschickte, die als mögliche Ziele kommerzieller Spyware eingestuft wurden. Die Hinweise betrafen Nutzer in 110 Ländern; die Gesamtzahl der Empfänger wurde jedoch nicht mitgeteilt.

Diese Warnungen beweisen nicht automatisch, dass ein Telefon kompromittiert wurde. Sie zeigen jedoch, dass Apple Aktivitäten festgestellt hat, die mit hochgradig gezielten Überwachungskampagnen vereinbar sind und sich in der Regel von großflächig verbreiteter Malware unterscheiden.

Im serbischen Fall konnten nachfolgende forensische Analysen die Infektion mit Pegasus und einem interaktionsfreien iMessage-Vektor in Verbindung bringen. Die Zuordnung bezieht sich auf das eingesetzte Werkzeug. Es wurden jedoch nicht genügend technische Details veröffentlicht, um den Betreiber der Plattform öffentlich zu identifizieren oder dessen Infrastruktur zu rekonstruieren.

Domains, IP-Adressen, Hashes oder andere für Administratoren nutzbare Indicators of Compromise wurden nicht bekannt gegeben. Eine Überprüfung erfordert daher Benachrichtigungen des Anbieters, forensische Sicherungen und eine spezialisierte Geräteanalyse.

Seit Anfang 2026 mindestens 14 Betroffene in Serbien

Der Fall scheint nicht isoliert zu sein. Nach Angaben der SHARE Foundation wurden seit Anfang 2026 mindestens 14 Personen in Serbien mit fortschrittlicher Spyware angegriffen.

Zu den Zielen gehören Mitglieder der Studierendenbewegung, Aktivisten, ein Abgeordneter und ein lokaler Gemeinderat aus Oppositionsparteien. Die Vorfälle fielen mit den Kommunalwahlen vom 29. März 2026 zusammen und verorten die Überwachungsoperationen in einer politisch sensiblen Phase.

Die genannte Zahl könnte das tatsächliche Ausmaß der Kampagne unterschätzen. Zero-Click-Infektionen können nur wenige Spuren hinterlassen. Zudem könnten einige Betroffene keine Warnung erhalten oder ihr Telefon keiner forensischen Untersuchung unterzogen haben.

Die Folgen betreffen nicht nur die Privatsphäre des Einzelnen. Die Kompromittierung von Mitgliedern politischer und zivilgesellschaftlicher Bewegungen kann Kontakt-Netzwerke, interne Kommunikation und Informationen über organisatorische Aktivitäten offenlegen. Im serbischen Fall gibt es zudem konkrete Hinweise darauf, dass öffentlich Material verwendet wurde, das von einem Smartphone gestohlen worden war.

NoviSpy auf beschlagnahmten Android-Telefonen installiert

Parallel zur Pegasus-Kampagne wurden zwei Vorfälle bekannt, die eine neue Variante der Android-Spyware NoviSpy betreffen.

Das Telefon eines Mitglieds der Studierendenbewegung wurde kompromittiert, nachdem es während eines Polizeiverhörs beschlagnahmt worden war. Die Vorgehensweise unterscheidet sich vom Zero-Click-Angriff auf iPhones: In diesem Fall hatten die Verantwortlichen offenbar physischen Zugriff auf das Gerät.

Die SHARE Foundation entdeckte dieselbe NoviSpy-Variante auf einem zweiten Smartphone. Von diesem Gerät waren private Viber-Nachrichten extrahiert und später vom Informer TV, einem regierungsnahen serbischen Fernsehsender, live veröffentlicht worden.

Der Vorfall zeigt unmittelbare und nachprüfbare Auswirkungen. Die erfassten Daten sollen nicht auf eine Überwachungsmaßnahme beschränkt geblieben sein, sondern dazu verwendet worden sein, private Kommunikation des Ziels öffentlich zu machen.

Das Amnesty International Security Lab geht davon aus, dass serbische Behörden invasive Android-Spyware installierten, während die Studierenden in Gewahrsam waren. Die neue Bedrohung bietet ähnliche Funktionen wie NoviSpy, enthält jedoch gezielte Änderungen, die die Arbeit von Forschern erschweren und die Wahrscheinlichkeit einer Entdeckung verringern sollen.

Welche Android-Versionen betroffen sind und welche Schwachstellen die neue Variante möglicherweise ausnutzt, ist nicht bekannt. Ebenso wurde nicht geklärt, ob für die Installation das Entsperren des Telefons erforderlich ist oder ob forensische Tools eingesetzt werden können, die dessen Schutzmechanismen umgehen.

Die Rolle forensischer Cellebrite-Tools

Die neuen Kompromittierungen stehen im Zusammenhang mit früheren, in Serbien dokumentierten Fällen, bei denen forensische Cellebrite-Tools zur Verbreitung von NoviSpy eingesetzt wurden.

Mobile-Forensics-Plattformen dienen dazu, im Rahmen von Ermittlungen Daten von Geräten zu erfassen. In Verbindung mit invasiver Spyware können sie eine vorübergehende Beschlagnahmung jedoch in einen dauerhaften Zugriff auf das Telefon verwandeln – selbst nachdem es zurückgegeben wurde.

Diese Vorgehensweise macht insbesondere Studierende, Journalisten, Aktivisten und Oppositionelle verwundbar, die zu Verhören vorgeladen werden. Der Nutzer erhält möglicherweise ein scheinbar unverändertes Gerät zurück, während die installierte Software versucht, ihre eigene Präsenz zu verbergen.

Die bei der neuen Android-Bedrohung festgestellten Anti-Detection-Änderungen deuten zudem auf eine Anpassung an die von unabhängigen Laboren eingesetzten Untersuchungstechniken hin. Es wurden nicht genügend Details veröffentlicht, um festzustellen, welche Systemkomponenten verändert oder welche Sicherheitsprüfungen umgangen werden.

Updates und Schutzmaßnahmen für gefährdete Nutzer

Die wichtigste Maßnahme für Apple-Nutzer besteht darin, alle verfügbaren Updates zu installieren. Im konkreten Fall ist die Behebung des iMessage-Exploits in iOS 18.4.1 enthalten. Wer ein kompatibles Gerät verwendet, sollte prüfen, dass es nicht weiterhin mit einer älteren Version betrieben wird.

Personen, die einer gezielten Überwachung ausgesetzt sein könnten, können den Sperrmodus aktivieren. Diese Konfiguration verringert die Angriffsfläche, indem sie bestimmte Funktionen und Inhalte einschränkt, die von hochentwickelter Spyware ausgenutzt werden können.

Google empfiehlt Android-Nutzern mit erhöhtem Risiko die Teilnahme am Advanced Protection Program. Es wendet strengere Sicherheitskontrollen auf das Konto und die Anmeldeverfahren an.

Meta hat außerdem in WhatsApp die Funktion Strict Account Settings eingeführt. Die Einstellung aktiviert automatisch strengere Schutzmaßnahmen und blockiert Anhänge sowie Mediendateien von Kontakten, die nicht im Adressbuch gespeichert sind.

Diese Maßnahmen senken das Risiko, ersetzen bei einem konkreten Verdacht jedoch keine forensische Analyse. Wer eine Bedrohungsbenachrichtigung von Apple erhält, dessen Telefon vorübergehend beschlagnahmt wurde oder eine ungewöhnliche Verbreitung eigener Kommunikation feststellt, sollte das Gerät unverändert sichern und sich an qualifizierte Spezialisten wenden. Ein Zurücksetzen sollte vermieden werden, da dadurch wichtige Spuren gelöscht werden können.