Eine groß angelegte Spionagekampagne verwandelte im Herbst gewöhnliche Websites in Infektionsinfrastruktur für Telefone — und brauchte dafür keine einzige Zero-Day-Lücke. Das Threat-Detection-and-Research-Team von Sekoia veröffentlichte am 4. November eine Analyse, die eine seit Mitte Oktober 2026 aktive Watering-Hole-Operation beschreibt, die iOS- und Android-Besuchern Exploit-Ketten ohne jede Interaktion auslieferte. Jede dabei genutzte Schwachstelle war von Apple und Google längst geschlossen.

Die für Verteidiger entscheidende Erkenntnis ist unbequem: Ein Telefon ist nur sicher, wenn es tatsächlich aktualisiert ist. Es gibt keinen neuen Fehler, auf dessen Patch man warten müsste, keine Herstellerwarnung, um die man sich ein Wettrennen liefert. Die Angreifer nahmen schlicht an, dass eine ausreichend große Zahl ungepatchter Geräte existiert — und behielten recht.

Sekoia schätzt mit mittlerer bis hoher Konfidenz, dass die Kampagne APT29 zuzuordnen ist — auch als Midnight Blizzard, Cozy Bear oder The Dukes geführt, ein intrusion set, das weithin dem russischen Auslandsgeheimdienst zugeschrieben wird. Das Unternehmen koordiniert nach eigenen Angaben mit nationalen CERTs bei der Opferidentifizierung und dankt CERT-UA sowie Googles TAG-Team für Unterstützung.

Drei Wege hinein

Die Kampagne nutzte drei Zustellwege, die alle im selben JavaScript-Loader enden.

Der erste war direkte Injektion in legitime Websites. Bei einem ukrainischen Erdgasproduzenten fügten Angreifer ein Skript in das Haupttemplate ein, das nach dem Laden der Seite eine externe Datei anhängte, die ihre Autoren „UltimateFingerprinter“ nannten. Ähnliche Manipulationen trafen die Website eines großen US-Chemieindustrieverbands, eine bulgarische militärnahe Seite und die Website einer rechtsextremen europäischen Partei.

Der zweite war Reverse-Proxy-Imitation: eine ähnlich klingende Domain registrieren, den Inhalt der echten Seite durchreichen und das schädliche Skript im Flug einfügen. Zwei Domains stachen heraus. `america250[.]holiday` proxyte america250.org, die offizielle Website der nationalen Initiative zum 250. Jahrestag der amerikanischen Unabhängigkeit; Sekoia vermutet dahinter ein einladungsbezogenes Spear-Phishing rund um ein hochkarätiges nationales Ereignis. `theowo[.]club` proxyte das Raffles London at The OWO, ein Luxushotel im alten Kriegsministeriumsgebäude, wenige Gehminuten vom Verteidigungsministerium und 10 Downing Street entfernt — und laut offenen Berichten dem Quartier des ukrainischen Präsidenten Wolodymyr Selenskyj während eines Besuchs am 14. Oktober.

Der dritte war der breiteste: Zwischen dem 27. August und dem 3. September veränderten Angreifer die Tracker-Datei des ukrainischen Webanalysedienstes Plerdy, den Tausende Websites einbinden, die meisten davon ukrainisch. Eine Woche lang luden alle Besucher dieser Seiten sowohl den legitimen Tracker als auch das Fingerprinting-Skript. Sekoia weist auf die Überschneidung mit Websites aus Rüstungssektor, Spezialkräften und Militärtechnik hin, kann aber nicht bestimmen, ob das Ziel gezielte Sammlung war oder einfach das weitestmögliche Netz über ungepatchte Telefone.

Ein Fingerabdruck, der das Kontextfenster eines Analysten verbrennen soll

Das Fingerprinting-Skript ist für sich genommen eine Kuriosität. Es fährt 61 Collector hoch, die 394 JSON-Felder zusammentragen — Canvas-, Audio- und WebGL-Hashes, Font- und Sensorprüfungen, Apple-spezifische Feature-Sonden, sogar USB-, NFC- und Bluetooth-Verfügbarkeit — und schickt das Ergebnis an einen Server, der Exploit-Code als HTTP-Antwortkörper zurückgibt.

Fast nichts davon ist operativ relevant. Nur drei Felder können die Auslieferung blockieren: unplausible Bildschirmmaße und ein `maxTouchPoints`-Wert von null, also ein Gerät, das kein Telefon ist. Der Rest wird erhoben und offenbar nicht verwendet.

Die Datei selbst ist aufgebläht: Die Nutzlast hängt am Ende einer 2,3 Megabyte großen, minimierten AngularJS-Kopie, die rund 98 Prozent ihrer Größe ausmacht. Sekoia liest das als Versuch, automatisierte Analyse durch große Sprachmodelle zu unterlaufen, indem man deren Kontextfenster sprengt — oder, falls das scheitert, das Skript auf den ersten Blick wie eine gewöhnliche Bibliothek aussehen zu lassen. So oder so zielt die Technik direkt auf die Werkzeuge, mit denen Verteidiger heute JavaScript triagieren.

Was die Exploit-Ketten mitnehmen

Der Zustellserver wählt die Kette anhand der gemeldeten Plattform und Browserversion. Sekoia konnte drei abrufen.

Klasse A zielt auf iOS 16.7 und verkettet eine RCE (CVE-2025-43529) mit einem Bypass der Pointer Authentication (CVE-2024-27834), durchsucht dann Prozess-IDs, öffnet den Container jeder App und setzt `Cookies.binarycookies`-Dateien wieder zusammen. Die Cookies gehen an einen fest codierten Endpunkt. Bemerkenswert: Die Probe enthält toten Code älterer Exploits — einen `AccessCase`-Use-after-free und einen SBFX-Überlauf — was auf ein wiederverwendetes statt neu gebautes Kit hindeutet.

Klasse B zielt auf iOS 18.5 und ist die vollständige DarkSword-Kette: dieselbe initiale RCE, ein anderer PAC-Bypass (CVE-2026-20700), dann zwei Sandbox-Ausbrüche (CVE-2025-14174 und CVE-2025-43510) und ein Kernel-Lese-/Schreibprimitive (CVE-2025-43520). Die Post-Exploitation-Nutzlast ist eine Telefon-Ernte: SMS- und iMessage-Datenbanken, Mail-Indizes, Voicemail, WhatsApp- und Telegram-Datenbanken, Keychain-Einträge, WLAN-Pre-Shared-Keys, Kontakte, Anrufhistorie, Kalender, Notizen, Safari-Verlauf und -Cookies, App-Nutzungs-Timeline, Standort-Caches, Gesundheitsdaten, die Fotobibliothek und iCloud Drive.

Klasse C zielt auf Android Chrome 139 bis 145 und überspringt Version 143 aus Gründen, die Sekoia nicht klären konnte. Sie nutzt CVE-2026-3910 für Codeausführung im Renderer, dann CVE-2025-27038 im Adreno-GPU-Treiber zum Ausbruch aus der Browser-Sandbox, und setzt eine Nutzlast ab, die die Forscher AndroSnitch tauften — 16 Funktionen, deren einzige Aufgabe es ist, Chromes Dateien Cookies, Login Data und History sowie die WLAN-Konfiguration des Systems zu lesen. Auf einem Galaxy S25 Ultra bricht sie ab.

Keine der Ketten etabliert Persistenz. Sie stehlen und verschwinden, was zu einem nachrichtendienstlichen Sammlungsziel passt: gestohlene Session-Cookies erlauben es einem Operator, authentifizierte Sitzungen inklusive Webmail wiederzuverwenden, ohne Schadsoftware auf dem Gerät zu hinterlassen.

Die Attributionsspur

Sekoias Argument ruht auf drei Beinen: Infrastrukturüberschneidung mit einer 2025 APT29 zugeschriebenen Watering-Hole-Kampagne, dem Opferprofil (konzentriert auf Ukraine, USA und Europa, mit einer tschechischen rechtsextremen Parteiwebsite dazwischen) und Googles TAG-Bestätigung, dass das Framework an APT29s Operation von 2024 gegen mongolische Regierungsseiten erinnert. Jene Kampagne nutzte einen fest codierten Zielfilter; diese nicht — sie nimmt, welche Cookies sie erreichen kann.

Google TAG hatte erklärt, die Exploits von 2024 entsprächen denen kommerzieller Überwachungsanbieter, und es sei unklar, wie APT29 sie erlangte. Sekoias Analyse neigt in dieselbe Richtung: Der Zustellhost bietet die Klasse-A-Kette nur für iOS 16.7 an, obwohl der Exploit von 16.0 bis 17.4 funktioniert — jene Art von Diskrepanz, die entsteht, wenn man das gepackte Kit eines anderen ohne Nachjustierung weiterverwendet.

Die strategische Lehre, die Sekoia zieht, betrifft das Angebot, nicht die Attribution. Gepackte, weiterverkaufte mobile Exploit-Ketten senken die Eintrittskosten für staatliche Gruppen, und die Wiederverwendung kommerzieller Kits dürfte zunehmen — was bedeutet, dass die praktische Verteidigung dort bleibt, wo sie immer war: das Telefon aktuell halten.

Quellen