Russische Hacker kapern Konten über legitime Anmeldewege : OAuth, Device Codes und WhatsApp-Verknüpfungen werden selbst zum Angriffswerkzeug
Russische Cyberspionagegruppen greifen Konten zunehmend nicht mehr über gefälschte Login-Seiten an. Stattdessen missbrauchen sie echte Anmeldeverfahren von Google, Microsoft und WhatsApp. Die Opfer authentifizieren sich bei legitimen Diensten – doch Tokens, Gerätefreigaben oder Sitzungscodes landen anschließend bei den Angreifern.
Die Google Threat Intelligence Group (GTIG) ordnet die Aktivitäten drei Clustern zu: UNC6293, UNC5976 und UNC7005. Die Kampagnen richten sich gegen Wissenschaftler, Diplomaten, Behörden, Denkfabriken sowie Beschäftigte aus Luftfahrt und Verteidigungsindustrie in Europa und den USA. GTIG spricht von „anhaltenden, anpassungsfähigen Phishing-Kampagnen“, die unterschiedliche Plattformen und Anmeldeverfahren kombinieren.
UNC6293 missbraucht Google-OAuth ohne gefälschte Login-Seite
UNC6293 gilt als Teilgruppe von Ice Relic, früher APT29 und auch unter Cozy Bear beziehungsweise Midnight Blizzard bekannt. Die Gruppe missbrauchte zunächst sogenannte Application Specific Passwords. Solche anwendungsspezifischen Passwörter ermöglichen älteren Anwendungen den Zugriff auf ein Google-Konto, ohne das eigentliche Kontopasswort verwenden zu müssen. Erlangt ein Angreifer ein solches Kennwort, kann er damit unter Umständen die Mehrfaktor-Authentifizierung des normalen Logins umgehen.
Seit Juni 2026 beobachtet Google zudem OAuth-Phishing. OAuth dient normalerweise dazu, einer Anwendung begrenzten Zugriff auf ein Konto zu gewähren, ohne ihr das Passwort mitzuteilen. UNC6293 bringt Opfer dazu, sich regulär bei einem externen Anbieter anzumelden und danach entweder die vollständige Weiterleitungsadresse oder einen angezeigten Verifizierungscode zu übermitteln. Der Angreifer kann damit den bereits begonnenen Autorisierungsvorgang übernehmen und auf das Konto zugreifen.
UNC5976 stiehlt Google-OAuth-Tokens über Cloud-Anwendungen
UNC5976 geht noch einen Schritt weiter. Die seit mindestens März 2026 aktive Gruppe registriert Domains, die wie Dateifreigabedienste wirken, und verbindet sie mit eigenen Cloud-Projekten. Auf der präparierten Website erscheint nach wenigen Sekunden eine Schaltfläche „Continue with Google“. Sie führt tatsächlich auf die legitime Google-OAuth-Seite. Das Opfer gibt seine Zugangsdaten daher nicht auf einer gefälschten Website ein.
Nach der erfolgreichen Authentifizierung erfolgt jedoch eine Weiterleitung auf eine vom Angreifer kontrollierte Cloud-Anwendung. Dort ausgeführtes JavaScript liest das Authentifizierungs-Token aus der URL aus und speichert es zur späteren Verwendung. Das Token ist besonders wertvoll, weil es eine bereits erfolgte Anmeldung repräsentiert. Der Angreifer muss das Passwort deshalb nicht kennen. Google identifizierte mindestens zwölf dafür eingerichtete Domains und Infrastrukturen und schaltete sie ab. UNC5976 wich anschließend offenbar auf andere Hosting-Anbieter aus.
Parallel setzt die Gruppe das schädliche Excel-Plugin HEADRUSH ein. Es dient als Downloader für eine HTML Application (HTA). HTA-Dateien können über Microsofts HTML Application Host Skripte mit weitreichenden lokalen Rechten ausführen und eignen sich daher als Einstiegspunkt für weitere Schadsoftware. Hinweise deuten auf einen Angriff gegen ein ukrainisches Unternehmen aus dem Bereich Luftfahrt und Bildverarbeitung.
UNC7005 verknüpft Angreifer-Geräte mit WhatsApp-Konten
Besonders breit ist das Arsenal von UNC7005, auch Storm-2945. Die Gruppe kombiniert Application-Password-Phishing mit Device-Code-Angriffen gegen Microsoft und der Geräteverknüpfung von WhatsApp. Als Köder dienen unter anderem Einladungen zu diplomatischen Veranstaltungen und Konferenzen. Präparierte Seiten fragen sogar nach Menü- und Weinwünschen, um seriöser zu wirken.
Beim WhatsApp-Angriff wird keine Sicherheitslücke ausgenutzt. Das Opfer gibt zunächst seine Telefonnummer ein. Der Angreifer startet daraufhin eine reguläre Anfrage zur Verknüpfung eines weiteren WhatsApp-Geräts. Die Phishing-Seite zeigt den echten QR-Code beziehungsweise Verbindungscode an und erklärt dem Opfer, es müsse diesen für einen sicheren Anruf, Chat oder Dokumentenaustausch bestätigen.
Nach der Freigabe ist das Gerät des Angreifers regulär mit dem WhatsApp-Konto verbunden. Die Kampagne versucht anschließend weitere Zugriffe: Wählt das Opfer einen vermeintlich sicheren Sprachanruf, startet JavaScript eine Audio- und Videoaufzeichnung und sendet die Daten an einen Command-and-Control-Server (C2). Bei der angeblichen verschlüsselten Chat-Funktion soll das Opfer zusätzliche Zugangsdaten auf einer zweiten Website eingeben.
Europäische Verteidigungsindustrie im Fokus
Anfang August 2026 startete UNC7005 zusätzlich eine neue Google-OAuth-Kampagne. Ab dem 31. Juli registrierte die Gruppe Domains, die das Finnish Operations Center (FOC) imitierten, eine Organisation zur Unterstützung finnischer Unternehmen im NATO-Umfeld. Zwischen dem 6. und 13. August verschickten die Angreifer gezielte Nachrichten an Personen aus oder mit Verbindung zur europäischen Verteidigungsindustrie.
Auch hier erfolgte die Anmeldung auf der echten Google-Seite. Erst danach wurden die Opfer auf ein nicht verifiziertes Cloud-Projekt umgeleitet, das ihre Authentifizierungs-Tokens abgriff.
Angreifer manipulieren Hotel-WLANs für Device-Code-Phishing
Noch weiter geht die Kampagne CaptiveCrunch. Dabei verschaffen sich Angreifer administrative Kontrolle über WLAN-Gateways etwa in Hotels, Konferenzzentren oder Flughäfen. Anschließend manipulieren sie die Domain-Name-System-Auflösung (DNS), sodass eigentlich legitime Webanfragen auf ihre Infrastruktur umgeleitet werden.
Die Angreifer befinden sich dadurch logisch zwischen Opfer und Zielsystem. Microsoft beschreibt daraus folgende Adversary-in-the-Middle-Angriffe (AitM), die unter anderem den Device-Code-Flow von Microsoft Entra ID missbrauchen. Ein Device Code ist eigentlich für Geräte gedacht, auf denen eine komfortable Anmeldung nicht möglich ist. Das Gerät zeigt einen Code an, den der Nutzer auf einem zweiten System bestätigt. Gelingt es dem Angreifer, sein eigenes Gerät als Ursprung dieses Vorgangs auszugeben, autorisiert das Opfer unbemerkt dessen Sitzung.
CornFlake RAT und ChocoShell stehlen Sitzungstokens vom Rechner
Über dieselbe Infrastruktur verteilen die Angreifer außerdem angebliche Browser- oder Betriebssystem-Updates. Zum Einsatz kommen CornFlake RAT und ChocoShell. Der in Go entwickelte Remote-Access-Trojaner (RAT) CornFlake RAT kann Systeme auskundschaften, Dateien und Tastatureingaben erfassen, Zugangsdaten und Sitzungstokens stehlen, Audio und Video überwachen sowie eine Remote-Shell öffnen.
ChocoShell ist ein PowerShell-basierter Infostealer. Er zielt unter anderem auf Browser-Cookies, gespeicherte Passwörter, Microsoft-365-Single-Sign-on-Tokens (SSO) und WLAN-Zugangsdaten. Laut Analyse gibt es Hinweise darauf, dass der Schadcode mithilfe eines Large Language Model (LLM) erzeugt wurde.
Missbrauch legitimer Anmeldeverfahren für den Kontozugriff
Die Kampagnen setzen nicht mehr bei gefälschten Passwortseiten an, sondern greifen direkt in den Authentifizierungsprozess ein. Dabei funktionieren OAuth, Device Codes oder Geräteverknüpfungen technisch wie vorgesehen. Der Angriff sorgt jedoch dafür, dass nicht der legitime Nutzer, sondern der Angreifer die daraus entstehenden Zugriffsrechte erhält.
Damit verlieren klassische Phishing-Merkmale wie verdächtige oder gefälschte Login-Domains an Aussagekraft. Laut GTIG ist gerade der Missbrauch legitimer Anmeldefunktionen problematisch, weil sich bösartige Zugriffe dadurch nur schwer von regulären Anmeldungen unterscheiden lassen. Ein einmal kompromittiertes Konto kann anschließend zudem als vertrauenswürdiger Ausgangspunkt für weitere gezielte Angriffe dienen.
FAQ: Wie russische Hacker legitime Anmeldeverfahren missbrauchen
Was ist OAuth-Phishing?
Beim OAuth-Phishing werden Opfer auf eine echte Anmeldeseite von Google oder einem anderen Anbieter geführt. Nach der Anmeldung übergeben sie jedoch eine Weiterleitungsadresse, einen Verifizierungscode oder ein Authentifizierungs-Token an die Angreifer. Das Passwort muss dabei nicht auf einer gefälschten Login-Seite eingegeben werden.
Welche russischen Hackergruppen nutzen diese Methode?
Die Google Threat Intelligence Group ordnet die beschriebenen Aktivitäten den Gruppen UNC6293, UNC5976 und UNC7005 zu. UNC6293 und UNC5976 missbrauchen unter anderem Google-OAuth. UNC7005 setzt zusätzlich Device-Code-Phishing und die Geräteverknüpfung von WhatsApp ein.
Wie stehlen Angreifer Google-OAuth-Tokens?
Die Angreifer locken ihre Opfer auf eine präparierte Website und leiten sie anschließend zur echten Google-OAuth-Anmeldung weiter. Nach der Authentifizierung führt der Vorgang zu einer vom Angreifer kontrollierten Cloud-Anwendung. Dort liest ein Skript das Token aus der URL aus und speichert es.
Wie funktioniert der Angriff über WhatsApp?
Das Opfer gibt auf einer Phishing-Seite seine Telefonnummer ein. Danach startet der Angreifer eine reguläre Anfrage zur Verknüpfung eines weiteren WhatsApp-Geräts. Bestätigt das Opfer den angezeigten QR- oder Verbindungscode, erhält das Gerät des Angreifers Zugriff auf das WhatsApp-Konto.
Was ist Device-Code-Phishing?
Beim Device-Code-Verfahren meldet sich ein Gerät mithilfe eines Codes an, den der Nutzer auf einem zweiten Gerät bestätigt. Beim Phishing startet der Angreifer den Vorgang für sein eigenes Gerät und bringt das Opfer dazu, den Code zu bestätigen. Dadurch kann die Sitzung des Angreifers autorisiert werden.
Warum sind diese Angriffe schwer zu erkennen?
Die Anmeldung erfolgt bei legitimen Diensten wie Google, Microsoft oder WhatsApp. Deshalb fehlen typische Merkmale wie eine gefälschte Login-Seite oder eine offensichtlich verdächtige Domain. Die Angreifer greifen stattdessen in den Autorisierungsprozess ein und erhalten die daraus entstehenden Zugriffsrechte.