Was haben Googles Bedrohungsforscher tatsächlich herausgefunden?
Googles Threat Intelligence Group veröffentlichte diesen Monat einen Bericht, der drei unterschiedliche Hackercluster benennt, verfolgt als UNC6293, UNC7005 (auch Storm-2945 genannt) und UNC5976, denen sie mit hoher Zuversicht eine russische Verbindung zuschreibt. Der Bericht macht deutlich, was diese Kampagnen ungewöhnlich macht: Keine der drei Gruppen nutzt eine Softwareschwachstelle. Stattdessen missbraucht jede einen legitimen Authentifizierungsablauf, dieselben App-Passwort-Bildschirme, OAuth-Zustimmungsaufforderungen und Geräteverknüpfungs-Abläufe, die ein normaler Mitarbeiter jeden Tag nutzt, um sich bei Google, Microsoft oder WhatsApp anzumelden.
UNC6293 ist mindestens seit Juni 2025 aktiv, als Google und das Citizen Lab die Gruppe erstmals als wahrscheinlichen Unter-Cluster von Ice Relic beschrieben, jener Gruppe, die breiter als APT29 oder Cozy Bear bekannt ist. UNC7005 wurde separat im Februar 2026 identifiziert, und UNC5976 wird seit März 2026 verfolgt; Google behandelt alle drei als verwandt, aber operativ eigenständig, jede mit eigener Infrastruktur und eigener Zielliste.
Wie wird ein echter Anmeldebildschirm zur Falle?
Der Mechanismus variiert je nach Cluster, doch das Muster bleibt gleich: Die Zielperson wird dazu gebracht, eine echte Anmeldung abzuschließen, und danach wird abgegriffen, was dabei herauskommt. UNC6293 verleitet Zielpersonen dazu, ein anwendungsspezifisches Passwort zu erzeugen, eine legitime Google-Funktion für ältere Geräte, und leitet dieses Passwort dann direkt oder über eine gefälschte Verifizierungscode-Anfrage an den Angreifer weiter. UNC7005 fährt eine parallele Version gegen Microsoft-Konten mittels Device-Code-Phishing, bei dem ein Opfer dazu gebracht wird, im Namen des Angreifers einen echten Microsoft-Gerätecode einzugeben, wodurch ein gültiges Sitzungstoken übergeben wird, ohne je ein Passwort auf einer gefälschten Seite einzutippen.
Die charakteristischste Technik von UNC7005 zielt direkt auf WhatsApp. Seit Mai 2026 verleitet die Gruppe Opfer dazu, ihr WhatsApp-Konto über WhatsApps eigene Geräteverknüpfungsfunktion mit einem vom Angreifer kontrollierten Gerät zu verknüpfen, derselben Funktion, die genutzt wird, um WhatsApp auf einem zweiten Telefon oder Laptop laufen zu lassen. Einmal verknüpft, kann der Angreifer Nachrichten lesen, Anrufe tätigen und, über bösartiges JavaScript, das während eines vorgetäuschten Sprachanrufs ausgeliefert wird, Audio und Video der Zielperson aufzeichnen, ohne eine einzige Datei auf deren Gerät zu installieren.
Wer steht tatsächlich auf der Zielliste?
Google benennt die Sektoren direkt: Wissenschaft, Luft- und Raumfahrt sowie Verteidigung, Regierungen, Thinktanks und diplomatisches Personal, konzentriert auf Europa mit einem sekundären Schwerpunkt in den USA. Der klarste einzelne Datenpunkt im Bericht ist ein datierter: Zwischen dem 6. und 13. August 2026 versandte UNC7005 Phishing-E-Mails an Personen in oder mit Verbindung zur europäischen Verteidigungsindustrie, unter Verwendung einer Domain, die eine finnische Einsatzzentrale vortäuscht. UNC5976 ist stärker militärisch-industriell ausgerichtet, mit geografischem Schwerpunkt auf der Ukraine und Armenien.
| Cluster | Erstmals identifiziert | Primäre Technik | Hauptziele |
|---|---|---|---|
| UNC6293 | Juni 2025 | App-Passwort- und OAuth-Phishing | Wissenschaft, Thinktanks, Diplomaten (Europa, USA) |
| UNC7005 (Storm-2945) | Februar 2026 | Device-Code-Phishing, WhatsApp-Geräteverknüpfung | Europäische Verteidigungsindustrie, Ukraine, NATO-nahes Personal |
| UNC5976 | März 2026 | OAuth-Phishing über gefälschte Dateifreigabe-Domains | Militär, Luft- und Raumfahrt, Verteidigungsindustrie (Ukraine, Armenien) |
Warum kann Ihre Sicherheitssoftware das nicht erkennen?
Weil es zum Zeitpunkt der Kompromittierung nichts gibt, das sie erkennen könnte. Ein Intrusion-Detection-System sucht nach Exploit-Code, einem bekannten bösartigen Datei-Hash oder Datenverkehr zu einer markierten Adresse; nichts davon existiert, wenn der gesamte Angriff darin besteht, dass eine echte Person sich durch einen echten Anmeldebildschirm klickt und ein Token übergibt, das Google oder Microsoft selbst als gültig ansieht. Die Infostealer-Malware, die Google weiter unten in der Kette dokumentiert, VIDAR unter Windows und ATOMIC unter macOS, trifft erst ein, nachdem das Konto bereits kompromittiert ist, was bedeutet, dass Antivirensoftware bestenfalls die zweite Hälfte des Angriffs erfasst.
Das ist der wirklich neue Teil für ein Unternehmen, das sein Sicherheitsbudget in Endpoint-Tools und Patch-Management gesteckt hat: Der Einstiegspunkt hier ist eine Berechtigungs- und Aufmerksamkeitslücke, keine technische. Ein vollständig gepatchter Laptop mit aktuellem Antivirus bietet keinen Widerstand gegen einen Kollegen, der eine Geräteverknüpfungsanfrage genehmigt, die er nicht selbst gestellt hat.
Was sollte ein Unternehmer diese Woche konkret tun?
Beginnen Sie in der Admin-Konsole, nicht beim Helpdesk. Überprüfen Sie in Google Workspace und Microsoft 365, welche Drittanbieter-Apps und OAuth-Freigaben Ihre risikoreichsten Mitarbeiter, also alle in regierungsnahen, verteidigungsnahen oder wissenschaftlichen Forschungsrollen, genehmigt haben, und widerrufen Sie alles Unerkannte. Wo Ihr Unternehmen Microsofts Device-Code-Anmeldeablauf nicht für legitime Zwecke benötigt, etwa zur Anmeldung bei einer Smart-TV-App, deaktivieren Sie ihn vollständig; es ist genau der Mechanismus, den UNC7005 missbraucht.
Weisen Sie zusätzlich die konkreten Personen in diesen Rollen, namentlich, an, niemals eine WhatsApp-Geräteverknüpfungsanfrage zu genehmigen oder einen Verifizierungscode weiterzugeben, den sie nicht selbst erzeugt haben, und diese Woche ihre eigene WhatsApp-Liste verknüpfter Geräte auf Unbekanntes zu prüfen. Nichts davon kostet Geld. All das schließt die tatsächliche Tür, die diese drei Gruppen nutzen.
Weiterlesen: Binance verließ Russland. Sein Postfach nicht. | MCP streicht Sitzungen und verschiebt Ihre Inferenzrechnung
