Poisoned Source: APT29 infiziert Android-Geräte ohne Nutzerklick

Sicherheitsforscher des IT-Sicherheitsunternehmens Sekoia haben eine großangelegte Watering-Hole-Kampagne unter dem Namen Poisoned Source aufgedeckt. Dabei wurden Android-Geräte beim bloßen Aufrufen manipulierter Webseiten ohne jegliche Nutzerinteraktion infiziert. Die Angreifer nutzten dafür eine Kette bekannter Sicherheitslücken in Google Chrome für Android sowie in Grafiktreibern von Qualcomm aus.

Sekoia ordnete die Kampagne mit moderater bis hoher Konfidenz dem russischen Auslandsgeheimdienst SVR beziehungsweise der Hackergruppe APT29 zu, die auch unter Bezeichnungen wie Midnight Blizzard oder Cozy Bear bekannt ist. Entdeckt wurde die Aktivität Mitte Oktober 2026.

Zweistufige Exploit-Kette und Spyware AndroSnitch

Die technische Umsetzung basierte laut Sekoia auf einer Kombination zweier Schwachstellen. Die Sicherheitslücke CVE-2026-3910 im Browser Google Chrome ermöglichte zunächst eine Code-Ausführung innerhalb der Anwendung.

Über die Schwachstelle CVE-2025-27038 in Qualcomm-Adreno-GPU-Treibern gelang den Angreifern anschließend der Ausbruch aus der Sicherheits-Sandbox auf das Betriebssystem. Betroffen waren die Chrome-Versionen 139 bis 145, wobei Version 143 ausgenommen war.

Nach erfolgreicher Infektion platzierte die Exploit-Kette eine Schadsoftware namens AndroSnitch. Diese stahl gezielt sensible Browserdaten, darunter Chrome-Cookies, gespeicherte Anmeldedaten und den Browserverlauf, sowie WLAN-Passwörter des Geräts. Die gestohlenen Daten wurden an die Adresse ad.starx-net[.]com:8881 übertragen.

Hacker nutzen immer raffiniertere Methoden, um Android-Smartphones im Alltag auszuspähen und sensible Daten wie Passwörter oder Browserverläufe abzugreifen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät wirksam gegen solche Angriffe absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Die Schadprogramme verfügten über keine Persistenzmechanismen, womit ein einfacher Neustart des Smartphones die aktive Infektion beendete. Zudem brach die Exploit-Kette automatisch ab, wenn sie ein Samsung Galaxy S25 Ultra mit der Modellnummer SM-S938B erkannte.

Kompromittierte Analysedienste und gefälschte Webseiten

Für die Verbreitung nutzten die Hintermänner drei unterschiedliche Wege. Neben injizierten Skripten auf legitimen Webseiten kamen täuschend echt wirkende Nachbildungen bekannter Internetauftritte zum Einsatz. Dazu zählten america250[.]holiday als Reverse-Proxy für das US-Portal america250.org sowie theowo[.]club als Weiterleitung für das Luxushotel Raffles London at The OWO.

Zusätzlich kam es zu einem Supply-Chain-Angriff auf den ukrainischen Web-Analyse- und SEO-Dienst Plerdy. Zwischen dem 27. August und dem 3. September 2026 war das Tracking-Skript des Anbieters manipuliert, wodurch Schadcode auf Tausenden vorwiegend ukrainischen Internetseiten ausgespielt wurde.

Zu den betroffenen Zielen zählten unter anderem ein ukrainischer Gasproduzent, ukrainische Militärportale, ein US-Branchenverband der Chemieindustrie, eine tschechische Gruppierung sowie eine bulgarische Militärwebseite. Die Opfer befanden sich vor allem in der Ukraine, aber auch in weiteren europäischen Ländern sowie in den USA. Die genaue Zahl der infizierten Geräte ist laut Sekoia unbekannt.

Ausnutzung bekannter Schwachstellen und parallele iOS-Angriffe

Bei sämtlichen ausgenutzten Schwachstellen handelte es sich um sogenannte N-Day-Lücken, für die bereits Sicherheitsupdates vorlagen. Google hatte die Browserlücke mit Version 146 im März 2026 geschlossen, während Qualcomm den Patch für die GPU-Schwachstelle bereits im Juni 2025 in einem Sicherheitsbulletin veröffentlicht hatte. Nutzer erhalten solche GPU-Treiber-Aktualisierungen jedoch ausschließlich über monatliche Sicherheitsupdates der jeweiligen Gerätehersteller.

Wer sein Smartphone regelmäßig für Online-Banking oder Messenger nutzt, sollte die Sicherheit nicht dem Zufall überlassen, da veraltete Systeme eine offene Tür für Cyberkriminelle darstellen. Ein kostenloser PDF-Report erklärt, wie Sie durch die richtigen Updates und Einstellungen Datenverlust dauerhaft verhindern. Kostenlosen Android-Sicherheits-Report herunterladen

Neben Android nahmen die Angreifer laut Sekoia auch Geräte mit dem Apple-Betriebssystem iOS über separate Angriffsketten ins Visier. Ein Exploit gegen iOS 16.7 nutzte die Schwachstellen CVE-2025-43529 und CVE-2024-27834, um gezielt Safari-Cookies abzugreifen.

Eine weitere Kette gegen iOS 18.5 basierte auf dem DarkSword-Exploit-Kit und kombinierte die Lücken CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 sowie CVE-2025-43520. Diese Variante ermöglichte das Auslesen von SMS-Nachrichten, Datenbanken von WhatsApp und Telegram, Daten des iCloud-Schlüsselbunds sowie von Standortdaten und Fotos.