Die Google Threat Intelligence Group hat detaillierte Erkenntnisse zu drei mutmaßlich russischen Cyber-Spionage-Gruppen veröffentlicht. Die Akteure nutzen legitime Authentifizierungsprozesse von Google und WhatsApp, um unbefugten Zugriff auf Konten in sensiblen Bereichen wie der Verteidigungsindustrie und Regierungen zu erlangen.
In einem Bericht vom 20. August 2026 analysieren Sicherheitsexperten der Google Threat Intelligence Group die Aktivitäten der Cluster UNC6293, UNC7005 und UNC5976. Den Erkenntnissen zufolge zielen diese Kampagnen gezielt auf Personen in den Sektoren Wissenschaft, Luft- und Raumfahrt, Verteidigung sowie auf Regierungen und Think Tanks in Europa und den USA ab. Die Zuordnung der Aktivitäten zu russischen Akteuren wird von den Analysten als wahrscheinlich, jedoch nicht als abschließend bestätigt eingestuft.
Auffällig ist die geringe Größe der Kampagnen: Jedes der identifizierten Cluster richtete sich gegen weniger als 100 Zielpersonen, wobei pro Cluster weniger als 10 tatsächliche Opfer verzeichnet wurden. Dabei verzichten die Angreifer auf die Nutzung von Zero-Day-Schwachstellen. Stattdessen initiieren sie legitime technische Abläufe und manipulieren gezielt die Autorisierungsphase, um die Kontrolle über die Zielkonten zu übernehmen.
UNC6293 und die Imitation staatlicher Stellen
Das Cluster UNC6293, das mit moderater Konfidenz als Teil des größeren Komplexes ICE RELIC beziehungsweise APT29 eingestuft wird, agiert unter anderem durch die Tarnung als US-Außenministerium. Die Gruppe setzt auf App-Passwort-Phishing sowie OAuth-Phishing.
Wer sich mit den Methoden moderner Cyber-Spionage befasst, erkennt schnell, wie riskant die herkömmliche Nutzung von Passwörtern geworden ist. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten, um Phishing und Datenklau komplett zu verhindern. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Ein dokumentierter Vorfall im Juni 2026 zeigt, dass die Akteure nach einer legitimen Anmeldung die Übermittlung von Verifizierungscodes anforderten, um sich dauerhaften Zugriff zu verschaffen. Als Indikatoren für eine Kompromittierung nennen die Experten in diesem Zusammenhang unter anderem die Domain foreignrelations.us.
WhatsApp-Manipulation und Captive-Portale durch UNC7005
Das bereits seit Februar 2026 aktive Cluster UNC7005, auch unter der Bezeichnung STORM-2945 bekannt, konzentriert seine Angriffe auf Wissenschaft, Diplomatie und gemeinnützige Organisationen in der Ukraine, Westeuropa und den USA.
Neben Device-Code-Phishing für Microsoft-Dienste und dem Einsatz von Malware wie Vidar und AtomicStealer missbrauchte die Gruppe im Zeitraum von Mai bis Juni 2026 die Geräteverknüpfungsfunktion von WhatsApp. Dies ermöglichte den Angreifern unter anderem Audio- und Videoaufnahmen.
Im August 2026 wurden zudem OAuth-Angriffe gegen Google- und Microsoft-Konten beobachtet, bei denen ein finnisches Operations Center imitiert wurde. Zudem nutzt UNC7005 Spoofing-Methoden gegen die Organisation GLOBSEC. Eine weitere Taktik der Gruppe ist die sogenannte CaptiveCrunch-Kampagne, die auf das Gastgewerbe abzielt. Hierbei werden kompromittierte WLAN-Captive-Portale genutzt, um Zugangsdaten zu erbeuten.
UNC5976: Fokus auf Cloud-Projekte und militärische Behörden
Das seit März 2026 beobachtete Cluster UNC5976 verwendet primär OAuth-Phishing über gefälschte File-Sharing-Domains und Google-Cloud-Projekte, um OAuth-Tokens zu entwenden. Die Gruppe konzentriert sich schwerpunktmäßig auf militärbezogene Behörden in der Ukraine und Armenien.
Die zunehmende Professionalisierung von Hackerangriffen macht deutlich, dass einfache Sicherheitsvorkehrungen oft nicht mehr ausreichen, um sensible Daten zu schützen. Erfahren Sie in diesem kostenlosen PDF-Ratgeber, wie Sie mit der richtigen Strategie für Updates und Systemsicherheit Datenverlust und Malware dauerhaft verhindern können. 5 einfache Schritte, mit denen Ihr Android-Smartphone sofort sicherer wird
Im April 2026 wurde zudem der Einsatz der Malware HEADRUSH identifiziert, die über ein Excel-Plugin verbreitet wird. Als eine der genutzten Infrastrukturen wird die Domain dosportal.app angeführt.
Empfohlene Sicherheitsvorkehrungen für Organisationen
Die Analysten der Google Threat Intelligence Group betonen die Bedeutung präventiver Maßnahmen, um diesen Formen des Kontenmissbrauchs zu begegnen. Es wird empfohlen, bestehende OAuth-Berechtigungen regelmäßig zu prüfen und den Zugriff für unbekannte Anwendungen konsequent zu widerrufen.
Organisationen sollten zudem Warnmeldungen für Autorisierungsereignisse aktivieren und die Nutzung von App-Passwörtern einschränken. Eine regelmäßige Kontrolle der mit den Konten verknüpften Geräte sei ebenfalls essenziell, um unbefugte Zugriffe frühzeitig zu erkennen.
