Russland-nahe Hacker infizierten veraltete iPhones und Android-Handys über gehackte Websites

Mit Russland verbundene Hacker haben iPhones und Android-Smartphones über gewöhnliche Websites infiziert: Auf einem veralteten Telefon genügte es, eine verseuchte Seite zu öffnen, ohne weiteres Tippen oder Herunterladen. Forscher der französischen Sicherheitsfirma Sekoia, die die Kampagne Mitte Oktober entdeckten, schreiben sie mit „mittlerer bis hoher Sicherheit“ APT29 zu, einer Gruppe, die dem russischen Geheimdienst zugerechnet wird und auch als Midnight Blizzard bekannt ist, wie es in ihrem am 4. November veröffentlichten Bericht heißt. Alle ausgenutzten Lücken hatten Apple und Google schon vor Beginn der Kampagne geschlossen. Opfer wurden also Menschen, die ihr Telefon nicht aktualisiert hatten.

Echte Websites als Köder

Diese Angriffsart heißt Watering Hole: Statt bösartige Links zu verschicken, lauern die Hacker auf Seiten, die ihre Ziele ohnehin besuchen. Sekoia fand eingeschleusten Schadcode auf den Websites eines ukrainischen Gasförderers, eines US-Branchenverbands der Chemieindustrie, einer bulgarischen Seite mit Militärbezug, einer rechtsextremen europäischen Partei, einer tschechischen rechtsextremen Bewegung und einer australischen Arztpraxis.

Außerdem bauten die Angreifer Kopien zweier echter Websites, die den Originalinhalt durchreichten. Eine imitierte America250, die offizielle Seite der Feiern zum 250. Jahrestag der USA. Die andere kopierte die Website des Hotels Raffles London at The OWO; Sekoia vermutet, dass sie auf diplomatische Delegationen und prominente Gäste zielte.

Das weiteste Netz warf ein Lieferkettenangriff aus. Vom 27. August bis zum 3. September wurde das Tracking-Skript des ukrainischen Webanalysedienstes Plerdy so verändert, dass es den Code der Angreifer nachlud. Laut Sekoia läuft dieses Skript auf „Tausenden Websites, die große Mehrheit davon ukrainisch“. Wer in dieser Woche eine solche Seite mit einem verwundbaren Telefon öffnete, konnte betroffen sein.

Was der Angriff von den Telefonen holte

Zuerst erstellte ein Skript auf der Seite einen Fingerabdruck von Gerät und Browser, dann schickte der Server der Angreifer eine passende Exploit-Kette. Sekoia beschreibt drei Ketten:

• iOS 16 und frühe iOS-17-Versionen: Diebstahl von Cookies aus Safari und Apps. Damit kann ein Angreifer ohne Passwort in Konten gelangen.
• iOS 18.5: fast alles: SMS, iMessage, WhatsApp- und Telegram-Nachrichten, Passwörter aus dem Schlüsselbund, E-Mails, Kontakte, Anrufliste, Notizen, Standortdaten, Health-Daten, Fotos und Dateien aus iCloud Drive.
• Android, Chrome-Versionen 139 bis 145 (außer 143): Chrome-Cookies, gespeicherte Logins, Browserverlauf und gespeicherte WLAN-Passwörter.

Die iOS-18-Kette überschneidet sich mit DarkSword, einem iPhone-Exploit-Kit, das Google, iVerify und Lookout im März beschrieben und das mehrere Gruppen, darunter Spyware-Anbieter, seit mindestens November 2025 einsetzen. Sekoia hält es für wahrscheinlich, dass die Exploits aus dem Kit eines kommerziellen Überwachungsanbieters stammen.

Keine der Schadkomponenten setzte sich auf dem Telefon fest: Ein Neustart beendet die Infektion, bis das Gerät wieder eine verseuchte Seite aufruft, schreibt BleepingComputer. Doch Daten, die vor dem Neustart kopiert wurden, sind bereits weg.

Wer im Visier stand

APT29 hat es meist auf Regierungen, Diplomaten und Verteidigungsziele abgesehen, und die Liste der Websites passt in dieses Muster. Laut Sekoia „bleibt jedoch unklar“, ob die Hacker es auf Besucher bestimmter Seiten abgesehen hatten oder einfach auf jedes ungepatchte Telefon, das sie erreichen konnten. Anders als eine ähnliche APT29-Kampagne 2024 hatte diese keinen Filter und sammelte Cookies aus jedem Browser. Die Betreiber suchen ständig neue Wege auf Geräte: Im August meldete Microsoft, dass eine Untergruppe derselben Gruppe WLAN-Anmeldeseiten von Hotels kaperte, um Schadsoftware als Browser-Update zu tarnen.

So schützen Sie Ihr Telefon

• Installieren Sie das neueste iOS- oder Android-Update. Laut Sekoia ist „ein Nutzer mit aktuellem Betriebssystem vor diesen Angriffen sicher“. Bekommt Ihr iPhone das neueste iOS nicht mehr, installieren Sie das letzte Update, das Apple dafür anbietet: Einige Korrekturen wurden auf ältere Versionen zurückportiert.
• Aktualisieren Sie unter Android Chrome separat im Google Play Store, denn der Angriff beginnt im Browser.
• War Ihr Telefon veraltet und haben Sie Ende August oder Anfang September ukrainische Websites besucht, melden Sie sich in Ihren wichtigsten Konten von allen Sitzungen ab und ändern Sie wichtige Passwörter: Gestohlene Cookies bleiben gültig, bis Sie das tun.
• Ein Neustart beendet genau diese Infektion, schließt aber keine Lücken und holt keine gestohlenen Daten zurück. Er ersetzt das Update also nicht.
• Ein VPN hilft hier nicht: Der Schadcode kommt von echten Websites über gewöhnliche verschlüsselte Verbindungen, und ein VPN ändert nur den Weg Ihres Datenverkehrs.
• Journalisten, Beamte und Aktivisten sollten auf dem iPhone den Blockierungsmodus (Lockdown Mode) einschalten. Apple hat kürzlich Bundestagsabgeordnete gewarnt, dass ihre Telefone mit Spyware angegriffen wurden.