Eine russische Hacker-Gruppierung hat eine groß angelegte Kampagne zur heimlichen Infizierung von Smartphones gestartet, indem sie kompromittierte, legitime Web-Ressourcen als „Fallen“ für ahnungslose Besucher nutzte. Dies berichtet das Portal Bleeping Computer, auf dessen Daten sich RBC-Ukraine beruft. Betroffen sind Websites in der Ukraine, den USA und europäischen Ländern. Unter den infizierten Ressourcen befanden sich ein ukrainisches Erdgasunternehmen, ein amerikanischer Industrieverband und eine bulgarische Militär-Website. Schätzungen zufolge lief die Kampagne mehrere Wochen und zielte sowohl auf iOS- als auch auf Android-Nutzer ab.
Angriffsvektor: Vom SEO-Tracker bis zu gefälschten Domains
Ein zentrales Element der Infrastruktur der Angreifer war der ukrainische Webanalyse-Dienst Plerdy. Hacker verschafften sich Zugriff auf die Plattform und tauschten deren SEO-Tracker aus — ein kleines JavaScript-Skript, das von Tausenden von Websites, vorwiegend in der Ukraine, geladen wurde. Auf diese Weise verbreitete sich der Schadcode über einen legitimen Kanal, was ihn für den Endnutzer praktisch unsichtbar machte. Parallel dazu richteten die Angreifer gefälschte Domains ein, die das offizielle amerikanische Portal America250 und die Website eines Londoner Hotels imitierten, um Opfer über Suchanfragen und direkte Links anzulocken.
So funktioniert der „unsichtbare“ Exploit
Beim Aufrufen einer der infizierten Ressourcen lud der Browser des Nutzers automatisch das ursprüngliche JavaScript-Skript. Ohne jegliches Zutun des Nutzers — keine Klicks, keine Abfrage von Berechtigungen — scannte das Skript das Gerät: Es identifizierte den Typ des Betriebssystems, die Browserversion und andere Parameter. Basierend auf diesen Daten sandte der Befehlsserver der Hacker automatisch ein gezieltes Paket spezifischer Exploits, die genau auf die Konfiguration des Geräts abgestimmt waren. Dieser Ansatz ermöglichte die Infizierung von iPhones und Android-Smartphones gleichermaßen, indem unterschiedliche Schwachstellen ausgenutzt wurden.
Was genau die Angreifer stahlen
Auf iOS-Geräten nutzten die Hacker Schwachstellen in den Versionen iOS 16.7 und iOS 18.5 aus. Infolge der Attacke erlangten die Hacker Zugriff auf Safari-Browser-Cookies, Datenbanken der Messenger WhatsApp und Telegram, Zugangsdaten aus dem Keychain-Speicher, Geodaten und Fotos. Auf Android-Geräten zielten sie auf Sicherheitslücken im Chrome-Browser für Android in den Versionen 139–145 (außer 143) ab. Mit dem spezialisierten Werkzeug AndroSnitch extrahierten die Hacker Chrome-Cookies, gespeicherte Anmeldedaten, Browserverlauf und WLAN-Passwörter. Den Forschern zufolge hinterließ keiner der eingesetzten Payloads dauerhafte Spuren im System: Ein einfacher Neustart des Geräts stoppte die bösartige Aktivität vorübergehend bis zum nächsten Besuch auf der infizierten Website.
Patches veröffentlicht — aber das Risiko bleibt
Apple und Google haben bereits alle entdeckten Schwachstellen behoben und Sicherheitsupdates veröffentlicht, einschließlich Korrekturen für ältere iOS- und Android-Versionen. Dennoch warnen Experten: Solange der Nutzer die neuesten Updates nicht installiert, bleibt sein Gerät anfällig. Forscher empfehlen dringend, so schnell wie möglich in den Einstellungen des Smartphones oder Tablets nach Updates zu suchen und alle verfügbaren Patches zu installieren. Eine zusätzliche Vorsichtsmaßnahme besteht darin, beim Besuch von Websites, die kein Vertrauen erwecken, vorsichtig zu sein sowie Traffic-Überwachungstools zu verwenden, die verdächtige ausgehende Verbindungen erkennen können.
Kontext: Eine Serie von Angriffen auf NATO- und Europa-Infrastruktur
Die beschriebene Kampagne ist kein isolierter Vorfall. Vor dem Hintergrund eines anhaltenden Informationskrieges führen russische Hackergruppen, darunter APT28, eine Reihe von Angriffen auf die Infrastruktur von NATO- und europäischen Ländern durch. So wurde laut der Publikation Dilo im Juli 2026 ein Angriff auf das interne Netzwerk eines Marineschiffbauunternehmens in einem der Mitgliedsstaaten des Bündnisses verzeichnet, bei dem die Angreifer mindestens zwei Monate lang unentdeckt blieben. Die Gesamtheit dieser Vorfälle zeugt von der systematischen Natur der Cyberoperationen, die sowohl auf Industriespionage als auch auf die massenhafte Infizierung von Endgeräten ziviler Nutzer abzielen.
