Google Threat Intelligence warnt vor einer koordinierten Welle von Spionageangriffen, bei denen russische Hackergruppen gezielt legitime Login-Systeme und Kommunikationsdienste ausnutzen.
Im Zentrum der Analyse stehen die drei Cluster UNC6293, UNC7005 und UNC5976, deren Aktivitäten sich gegen Einrichtungen der Wissenschaft, Diplomatie sowie der Verteidigungs- und Luftfahrtindustrie in Europa und den USA richten. Aktuelle Erkenntnisse belegen dabei eine erhebliche Ausweitung der technischen Infrastruktur für den Diebstahl digitaler Identitäten.
UNC5976 forciert Diebstahl von OAuth-Zugangstoken
Besondere Aufmerksamkeit widmen die Sicherheitsforscher der Gruppe UNC5976. Den vorliegenden Daten zufolge hat dieses Cluster seit März 2026 mindestens 12 Domains registriert, die speziell für den Diebstahl von OAuth-Token konzipiert wurden.
Die Angreifer nutzen hierfür gefälschte Dateifreigabe-Seiten, um Nutzer zur Autorisierung bösartiger Anwendungen zu verleiten. Sobald ein Token erbeutet wurde, erhalten die Akteure Zugriff auf die Cloud-Ressourcen der Opfer, ohne deren Passwörter kennen zu müssen.
Angesichts der zunehmenden Angriffe auf digitale Identitäten stellt sich für viele die Frage, wie man den Zugriff auf sensible Konten wirksam schützen kann. Dieser kostenlose Report zeigt, wie Sie moderne Sicherheitsverfahren nutzen, um Hackern keine Chance mehr zu lassen. Warum immer mehr Deutsche ihre Passwörter komplett abschaffen – und was dahintersteckt
Diese Methode umgeht klassische Sicherheitsvorkehrungen, da sie auf die missbräuchliche Nutzung regulärer Authentifizierungsschnittstellen setzt. Die betroffenen Domains imitieren dabei vertrauenswürdige Dienste, um die Hürde für eine Interaktion der Zielpersonen zu senken.
Manipulation von WhatsApp-Konten durch UNC7005
Ein weiterer Schwerpunkt der Spionageaktivitäten liegt auf dem Cluster UNC7005, das in Sicherheitskreisen auch unter der Bezeichnung STORM-2945 bekannt ist. Diese Gruppe ist seit Februar 2026 verstärkt aktiv und setzt auf eine spezifische Methode zur Kompromittierung von WhatsApp-Konten. Durch die missbräuchliche Nutzung der Geräteverknüpfungs-Funktion des Messengers verschaffen sich die Angreifer Zugriff auf die Kommunikation ihrer Ziele.
Dem Bericht zufolge wird dieser Zugang genutzt, um Audio- und Videoinhalte aufzuzeichnen und sensible Informationen abzuschöpfen. Zur Infektion der Zielsysteme setzt UNC7005 auf Fake-Meetings und das Spoofing der Sicherheitskonferenz GLOBSEC. Dabei wird Schadsoftware wie VIDAR und ATOMIC verteilt.
Wer sich mit der Absicherung seiner mobilen Kommunikation befasst, sollte über die grundlegenden Schutzmaßnahmen informiert sein, um Manipulationen rechtzeitig zu erkennen. Dieser gratis PDF-Ratgeber liefert eine einfache Schritt-für-Schritt-Anleitung, mit der Sie Messenger wie WhatsApp und andere Apps auf Ihrem Smartphone sofort sicherer nutzen können. 5 Schutzmaßnahmen für Ihr Smartphone jetzt entdecken
Ein Teil dieser Aktivitäten wird der sogenannten CaptiveCrunch-Kampagne zugeordnet, die über Hotel-WLANs operiert. In diesem Zusammenhang wurden bisher 70 betroffene IP-Adressen identifiziert.
Langfristige Kampagnen gegen Behörden und Militär
Das dritte identifizierte Cluster, UNC6293, ist bereits seit Juni 2025 aktiv. Die Gruppe konzentriert sich primär auf Phishing-Angriffe, die auf App-Passwörter und OAuth-Verfahren abzielen. Ziel dieser Angriffe ist die dauerhafte Infiltration von Netzwerken der Regierungs- und Militärverwaltung.
In den verschiedenen Kampagnen der drei Gruppen kommt ein breites Spektrum an Malware zum Einsatz. Neben den bereits genannten Programmen identifizierten die Experten die Werkzeuge ENGINELIGHT, CHERRYPIE, HEADRUSH und VIDAR. Diese Programme dienen dazu, nach dem ersten Eindringen in ein System die Kontrolle aufrechtzuerhalten und Daten aus geschützten Umgebungen zu extrahieren.
Empfehlungen zur Absicherung professioneller Konten
Angesichts der Raffinesse der Angriffe betonen Sicherheitsexperten die Notwendigkeit, Authentifizierungsprozesse strenger zu überwachen. Da die Gruppen gezielt Funktionen wie App-Passwörter ausnutzen, wird empfohlen, diese nach Möglichkeit vollständig zu deaktivieren. Zudem sollten Unternehmen und Behörden bestehende OAuth-Zustimmungen regelmäßig auf ihre Rechtmäßigkeit prüfen.
Für Nutzer von Messenger-Diensten im professionellen Umfeld raten Experten dazu, die Liste der verknüpften Geräte bei WhatsApp kontinuierlich zu kontrollieren. Jede unbekannte Verbindung sollte umgehend getrennt werden. Zudem wird davor gewarnt, Verifizierungscodes an Dritte weiterzugeben, da dies oft der erste Schritt zur Übernahme eines Kontos durch die Spionagegruppen ist.
