Russische Hacker nutzen Zero-Click-Exploits, um iOS und Android über gekaperte Websites anzugreifen

Sicherheitsforscher von Sekoia berichten, dass eine von Russland unterstützte Hackergruppe mit einer groß angelegten Watering-Hole-Kampagne iOS- und Android-Nutzer mit Zero-Click-Exploit-Ketten angegriffen hat, die keinerlei Interaktion der Opfer erforderten – außer dem Besuch einer kompromittierten oder gefälschten Website. Das Unternehmen schreibt die Operation mit mittlerer bis hoher Zuverlässigkeit der Gruppe APT29 zu, die auch als Midnight Blizzard bekannt ist – derselben Gruppe, die Microsoft mit dem SolarWinds-Einbruch und einer Reihe jüngster Angriffe über Hotel-WLAN in Verbindung gebracht hat.

Watering-Hole-Angriffe funktionieren, indem Websites kompromittiert werden, die eine Zielgruppe wahrscheinlich besucht, anstatt Ziele direkt anzugreifen. Dieser Ansatz ist hier relevant, weil er es einem gut ausgestatteten staatlichen Akteur erlaubt, ein breites Netz auszuwerfen und die Opfer selbst zum Exploit kommen zu lassen, anstatt einen Phishing-Link zu verschicken, den ein Ziel erkennen und meiden könnte. Laut Sekoia kombinierte die Kampagne drei getrennte Taktiken: die Kompromittierung echter Websites, das Aufsetzen täuschend ähnlicher Fake-Domains und die stille Übernahme eines weit verbreiteten Webanalyse-Skripts.

Wie die Exploit-Kette funktionierte

Der auf den präparierten Seiten eingeschleuste JavaScript-Code identifizierte zunächst Gerätetyp und Browserversion jedes Besuchers. Ein Command-and-Control-Server lieferte anschließend eine auf diese Plattform zugeschnittene Exploit-Kette aus. Unter iOS 16.7 verketteten die Angreifer CVE-2025-43529 und CVE-2024-27834, um Safari-Cookies zu stehlen. Unter iOS 18.5 sammelte eine längere Kette – CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520 – WhatsApp- und Telegram-Datenbanken, Keychain-Zugangsdaten, Standortdaten und Fotos. Bei Chrome für Android in den Versionen 139 bis 145 (mit Ausnahme von 143) wurden CVE-2026-3910 und CVE-2025-27038 mit einem Tool kombiniert, das Sekoia AndroSnitch nennt, um Cookies, gespeicherte Zugangsdaten, Browserverlauf und gespeicherte WLAN-Zugangsdaten zu stehlen.

Bei all diesen handelt es sich um „n-day“-Schwachstellen: Lücken, für die bereits Patches verfügbar waren, die aber weiterhin auf jedem Gerät funktionieren, das nicht das neueste Sicherheitsupdate installiert hat. CVE-2025-43529 ist insbesondere mit dem Exploit-Kit „DarkSword“ verknüpft, das erstmals im März 2026 dokumentiert wurde und Berichten zufolge seit mindestens November 2025 von mehreren Bedrohungsakteuren genutzt wird.

Kompromittierte Websites und eine Wendung in der Lieferkette

Die Kampagne traf eine Mischung aus echten und gefälschten Zielen. Sekoia fand direkt kompromittierte legitime Websites, darunter die eines ukrainischen Gasproduzenten, eines US-Branchenverbands der Chemieindustrie und einer militärnahen Website in Bulgarien. Daneben richteten die Angreifer täuschend ähnliche Domains ein, die sich als die offizielle America250-Jubiläumsseite und das Hotel Raffles London am The OWO ausgaben und die Inhalte der echten Seiten über eine Adversary-in-the-Middle-Konstruktion spiegelten, sodass Besucher keinen Unterschied bemerkten.

Der folgenreichste Schritt war die Kompromittierung der Lieferkette von Plerdy, einem ukrainischen Anbieter für Webanalyse. Die Angreifer veränderten dessen SEO-Tracking-Skript zwischen Ende August und Anfang September, und der manipulierte Code wurde auf Tausenden von Websites geladen, die den Plerdy-Tracker einbinden – die große Mehrheit davon in der Ukraine.

Wie es weitergeht

Keine der Schadkomponenten verankerte sich dauerhaft auf den infizierten Geräten, sodass ein einfacher Neustart die Aktivität stoppte – bis der Nutzer die kompromittierte Website erneut besuchte. Apple und Google haben inzwischen alle ausgenutzten Schwachstellen gepatcht, einschließlich Backports für ältere iOS-Versionen. Die Erkenntnisse von Sekoia, zuerst von Bill Toulas bei BleepingComputer veröffentlicht, bestätigen ein Muster, auf das Sicherheitsforscher bereits zuvor hingewiesen haben: Staatlich verbundene Gruppen nutzen zunehmend Exploits wieder, die ursprünglich von kommerziellen Spyware-Anbietern entwickelt wurden, und machen damit gepatchte „n-day“-Lücken zu wirksamen Waffen gegen jeden, der mit Updates in Rückstand gerät.

Für die meisten Nutzer ist die praktische Konsequenz einfach: iOS- und Android-Sicherheitsupdates installieren, sobald sie verfügbar sind, denn für jede in dieser Kampagne genutzte Schwachstelle existiert ein Fix. Organisationen, die Analyse- oder Tracking-Skripte Dritter einbinden, sollten diese zudem als Teil ihrer Angriffsfläche betrachten und nicht nur als Marketing-Tool – die Kompromittierung von Plerdy zeigt, wie ein einziger vertrauenswürdiger Anbieter zu einem Verteilungskanal für Schadsoftware über Tausende unabhängige Websites werden kann.