Russische Spionage: Wie Google- und WhatsApp-Anmeldungen zu Phishing-Fallen werden

Das kann auch Schutzmaßnahmen umgehen, die Nutzer normalerweise mit der Multi-Faktor-Authentifizierung (MFA) verbinden. Das Opfer muss dabei möglicherweise gar kein Passwort preisgeben. Es kann stattdessen eine OAuth-Anwendung autorisieren, ein App-Passwort anlegen oder einen neuen Messenger-Zugriff bestätigen. Jede dieser Aktionen kann einem Angreifer einen legitim wirkenden Weg in das Konto eröffnen.

Was die drei Cluster laut Bericht getan haben

UNC6293: Tarnung als US-Beamte, App-Passwörter und OAuth

UNC6293 soll sich als Mitarbeiter des US-Außenministeriums und als andere vertrauenswürdige Kontakte ausgegeben haben. Die Köder zielten darauf ab, Opfer zum Erstellen und Weitergeben anwendungsspezifischer Passwörter – sogenannter App-Passwörter – zu bewegen. Diese können einen Kontozugriff ermöglichen, der außerhalb einer normalen Zwei-Faktor-Abfrage liegt.

GTIG beschrieb außerdem sogenanntes OAuth-Consent-Phishing. Dabei versuchen die Angreifer, autorisierte Zugriffstoken zu erhalten, anstatt das Passwort direkt zu stehlen.

Mit mittlerer Zuversicht bewertete GTIG UNC6293 als Subcluster für den Erstzugang innerhalb von ICE RELIC – Googles Bezeichnung für den Akteur, der früher als APT29 bekannt war.

UNC7005 beziehungsweise STORM-2945: WhatsApp, gefälschte Gespräche und mehrstufige Köder

UNC7005 setzte laut GTIG auf ein breiteres und sich weiterentwickelndes Arsenal:

• Betrug mit der WhatsApp-Geräteverknüpfung: Opfer wurden dazu gebracht, ein vom Angreifer kontrolliertes Gerät mit ihrem WhatsApp-Konto zu verbinden.
• Gefälschte Sprachanrufe und Einladungen zu verschlüsselten Chats: Solche Kontakte sollten zunächst Vertrauen schaffen, bevor ein schädlicher Link oder Code folgte.
• Gefälschte Organisationskommunikation: Köder mit Bezug zum Finnish Operations Center wurden zusammen mit nachgebauten Microsoft-Anmeldeseiten eingesetzt.
• OAuth und Schadsoftware: Über Google-OAuth-Abläufe versuchten die Angreifer, Zugriffstoken oder Kontozugriff zu erlangen. Zusätzlich kam Schadsoftware wie VIDAR und ATOMIC zum Einsatz, die Informationen aus den betroffenen Systemen stehlen kann.

Die Techniken und die Infrastruktur von UNC7005 unterschieden sich von denen von UNC6293. Deshalb führt GTIG die beiden Operationen trotz ähnlicher Ziele und ihrer gemeinsamen Nutzung legitimer Authentifizierungsabläufe getrennt.

UNC5976: OAuth-Phishing gegen verteidigungsnahe Ziele

UNC5976 konzentrierte sich dem Bericht zufolge auf militärische, luftfahrtbezogene und verteidigungsnahe Mitarbeiter sowie Organisationen. Zu den Zielbezügen gehörten auch Personen und Einrichtungen in der Ukraine und in Armenien. Die Phishing-Angriffe sollten über OAuth eine Autorisierung für den Zugriff auf Konten oder Daten erlangen.

Was über die Verbindung zu Russland bekannt ist

GTIG bewertete mit hoher Zuversicht, dass die gesamte Aktivität einen Russland-Bezug aufweist. Das ist eine Einschätzung zur Zuordnung der Kampagnen – nicht die Aussage, dass jedes operative Detail oder jede Verbindung zwischen den Clustern gleichermaßen bewiesen ist.

Für Teile der Aktivitäten werden zudem Verbindungen zu ICE RELIC beziehungsweise APT29 beschrieben. Die Zuordnung von UNC6293 zu ICE RELIC erfolgte bei GTIG mit mittlerer Zuversicht. Die drei Cluster werden weiterhin getrennt verfolgt, weil sich Vorgehensweisen und Infrastruktur nicht vollständig gleichen.

Warum MFA allein nicht genügt

Multi-Faktor-Authentifizierung bleibt eine wichtige Schutzmaßnahme. Sie kann jedoch ausgehebelt werden, wenn Angreifer einen Nutzer dazu bringen, die falsche Aktion zu bestätigen. Ein unerwartetes OAuth-Fenster, eine Aufforderung zum Erstellen eines App-Passworts oder ein WhatsApp-Verknüpfungscode kann bereits ein Versuch der Kontoübernahme sein – selbst wenn kein Passwort gestohlen wurde.

Die praktische Konsequenz: Anmeldeaufforderungen sollten wie sicherheitsrelevante Transaktionen behandelt und vor der Bestätigung überprüft werden. Dass eine Anfrage innerhalb eines bekannten Dienstes erscheint, macht sie nicht automatisch sicher.

Diese Schutzmaßnahmen empfiehlt Google

GTIG rät dazu, den Ablauf zu verlangsamen, den Angreifer mit ihren Ködern beschleunigen wollen:

• Die vollständige Browser-Adresse prüfen, bevor eine Anmeldung erfolgt oder der Zugriff einer OAuth-Anwendung freigegeben wird.
• Einladungen und Anfragen unabhängig verifizieren: Bei Konferenzeinladungen, Sprachanrufen, Anfragen zu verschlüsselten Chats oder Nachrichten vermeintlicher Behörden- und Organisationskontakte sollte ein bereits bekannter Kommunikationsweg genutzt werden.
• Niemals App-Passwörter, Einmalcodes, QR-Codes oder Geräteverknüpfungscodes weitergeben. Eine unerwartete Anmeldung oder OAuth-Anfrage sollte nicht bestätigt werden.
• Verknüpfte Messenger-Geräte regelmäßig kontrollieren: Unbekannte Geräte sollten bei WhatsApp und anderen Messaging-Apps entfernt werden.
• Phishing-resistente MFA einsetzen: Organisationen sollten Sicherheitsschlüssel oder Passkeys bevorzugen und riskante OAuth-Anwendungen sowie App-Passwörter nach Möglichkeit einschränken.

Die wichtigste Erkenntnis für Menschen in sensiblen Bereichen ist schlicht: Eine bekannte Marke, eine echte Anmeldeseite oder eine tatsächlich vorhandene Sicherheitsfunktion beweist noch nicht, dass die konkrete Anfrage legitim ist. Entscheidend ist auch, wer die Aktion ausgelöst hat – und ob sich diese Person oder Organisation über einen unabhängigen Kanal bestätigen lässt.