Komisch, komisch: Russen nutzen Exploits der Staatstrojaner-Firmen

Google hat Beweise dafür vorgelegt, dass russische Regierungshacker Exploits nutzen, die "identisch oder auffallend ähnlich" zu denen sind, die zuvor von den Staatstrojaner-Herstellern Intellexa und NSO Group entwickelt wurden.

Herkunft unbekannt

Die Anbieter von Spionage-Software betonen immer wieder gern, dass sie ihre Trojaner stets verantwortungsvoll nur an Strafverfolgungsbehörden abgeben, bei denen ein rechtsstaatlicher Einsatz angenommen werden kann. Die Praxis zeigte allerdings schon mehrfach, dass die Software durchaus auch in Diktaturen zum Einsatz kommt, die damit unter anderem Oppositionelle oder Journalisten bespitzeln.

In einem Blogbeitrag erklärte Google nun, dass es nicht genau wisse, wie die russische Regierung an diese Exploits gelangt sei. Dies sei jedoch ein Beispiel dafür, wie von Spyware-Herstellern entwickelte Schadcodes in die Hände gefährlicher Bedrohungsakteure gelangen könnten, hieß es.


Die Angreifer in diesem konkreten Fall gehören zur Gruppe APT29, die weithin dem russischen Auslandsgeheimdienst SVR zugeschrieben wird. APT29 ist bekannt für ihre hartnäckigen Kampagnen, die auf Spionage und Datendiebstahl gegen eine Vielzahl von Zielen abzielen, darunter Tech-Firmen wie Microsoft und SolarWinds sowie ausländische Regierungen.

Hack per Seitenzugriff

Google entdeckte den versteckten Exploit-Code auf Webseiten der mongolischen Regierung zwischen November 2023 und Juli 2024. In diesem Zeitraum konnten alle Besucher dieser Seiten, die ein iPhone oder Android-Gerät nutzten, durch einen sogenannten "Watering Hole"-Angriff gehackt werden. Dabei wurden ihre Daten, einschließlich Passwörtern, gestohlen. Die Exploits nutzten Schwachstellen in den Browsern Safari auf dem iPhone und Google Chrome auf Android aus, die zum Zeitpunkt der vermuteten russischen Kampagne bereits behoben waren. Dennoch konnten ungepatchte Geräte kompromittiert werden.

Laut Google war der iPhone-Exploit speziell darauf ausgelegt, Benutzerkontocookies zu stehlen, die in Safari gespeichert sind - insbesondere von Online-E-Mail-Anbietern, die persönliche und dienstliche Konten der mongolischen Regierung hosten. Der Angriff auf Android-Geräte nutzte zwei separate Exploits, um Benutzer-Cookies aus dem Chrome-Browser zu stehlen.


Siehe auch: