Poisoned Source: Spionagekampagne greift iPhones und Android-Geräte an

Sicherheitsforscher des Unternehmens Sekoia schlagen Alarm wegen einer großflächigen Watering-Hole-Kampagne namens „Poisoned Source“. Die Angreifer nutzen Zero-Click-n-Day-Exploits, um ohne jegliche Nutzerinteraktion auf Android- und iOS-Geräte zuzugreifen.

Sekoia entdeckte die Kampagne Mitte Oktober 2026 und veröffentlichte die entsprechende Untersuchung am 4. November 2026. Die Forscher schreiben die Operation mit mittlerer bis hoher Konfidenz der Gruppierung APT29 zu, die auch unter den Namen Midnight Blizzard oder Cozy Bear bekannt ist und dem russischen Auslandsnachrichtendienst SVR zugerechnet wird.

Drei Infektionspfade und gezieltes Browser-Fingerprinting

Nach Angaben von Sekoia stützt sich die Kampagne auf drei verschiedene Infektionswege. Dazu gehören kompromittierte legitime Websites, darunter Seiten eines ukrainischen Gasproduzenten, eines US-Chemieverbands, einer bulgarischen Militärseite und einer tschechischen rechtsextremen Bewegung.

Zudem setzten die Angreifer Lookalike- und Zwillings-Domains ein, darunter Adressen wie america250[.]holiday sowie Nachbildungen des Raffles London at The OWO. Als dritter Weg diente eine Supply-Chain-Kompromittierung des ukrainischen SEO-Trackers Plerdy.

Dessen Skript unter der Adresse a.plerdy[.]com/public/js/click/main.js war vom 27. August bis 3. September 2026 manipuliert. Betroffen waren hunderte bis tausende überwiegend ukrainische Websites, darunter Auftritte der Armee, von Spezialkräften sowie Herstellern von Drohnen und Ballistik.

Beim Aufruf einer manipulierten Website sammelt ein Loader namens „UltimateFingerprinter“ 394 Datenfelder aus 61 Browser-Sensoren. Die Datei besitzt eine Größe von 2,3 MB und besteht zu 98 Prozent aus AngularJS-Dekoy-Code.

Wer sich mit der Sicherheit mobiler Endgeräte befasst, erkennt schnell, wie gefährlich veraltete Systeme für die eigenen Daten sein können. Dieser kostenlose PDF-Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Schadsoftware absichern. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Über schädliches JavaScript ermitteln die Angreifer das genaue Gerätemodell sowie die Version des Browsers, woraufhin der Server automatisiert die passende Exploit-Kette ausliefert, ohne dass der Nutzer eine Aktion ausführen muss.

Ausdifferenzierte Exploit-Ketten gegen iOS und Android

Sekoia identifizierte drei separate Angriffsketten. Die Kette A zielt auf iOS 16.7 ab und nutzt die Schwachstellen CVE-2025-43529 sowie CVE-2024-27834 aus, um Cookies aus dem Safari-Browser zu entwenden. Kette B greift iOS 18.5 über die sogenannte „DarkSword“-Kette an, die CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520 kombiniert.

Dieser Exploit liest umfassende Datenbestände aus, darunter Kurznachrichten, SMS, E-Mails, Kontakte, Zugangsdaten, Anruflisten, Cookies, Standortdaten, Fotos, Datenbanken von WhatsApp und Telegram sowie den Schlüsselbund.

Angesichts immer komplexerer Angriffsmethoden auf mobile Browser reicht ein einfaches Update oft nicht mehr aus, um sensible Informationen zu schützen. Erfahren Sie in diesem gratis Report, welche Maßnahmen Experten empfehlen, um WhatsApp, PayPal und Co. auf dem Smartphone dauerhaft sicher zu nutzen. Gratis-PDF: 5 Schutzmaßnahmen für Ihr Smartphone

Die Kette C attackiert Chrome auf Android in den Versionen 139 bis 145, mit Ausnahme von Version 143. Hierbei werden CVE-2026-3910 und CVE-2025-27038 zusammen mit einer Schwachstelle in Grafiktreibern für Qualcomm-Adreno ausgenutzt.

Nach einem Ausbruch aus der Sandbox installiert der zweistufige Angriff die Spionagesoftware „AndroSnitch“, um Chrome-Cookies, den Browserverlauf, Login-Informationen und gespeicherte WLAN-Passwörter abzugreifen. Auffällig war laut Sekoia, dass der Angriff auf ein Samsung Galaxy S25 Ultra mit der Modellnummer SM-S938B gezielt abgebrochen wurde.

Die Malware verfügt über keine Persistenz; ein Geräteneustart stoppt die Aktivität bis zu einem erneuten Besuch einer infizierten Seite. Die Exfiltration der Daten erfolgte an die Adresse ad.starx-net[.]com:8881/telemetry/v12.

Patch-Status und behördliche Einordnung

Laut Sekoia waren alle acht ausgenutzten Schwachstellen bereits vor Beginn der Kampagne geschlossen, da Apple und Google entsprechende Sicherheitsupdates auch für ältere Betriebssystemversionen bereitgestellt hatten.

Dennoch weist das Sicherheitsunternehmen Ostorlab darauf hin, dass die älteste Angriffskette die Systeme iOS 16.0 bis 16.7.7 sowie 17.0 bis 17.4 betrifft und die zweite Kette auf iOS-Versionen der 18er-Reihe vor 18.7.3 sowie Versionen von iOS 26 vor 26.3 abzielt. Die Updates 16.7.8 und 17.5 schließen die WebKit-Schwachstelle CVE-2025-43529 nicht, dies geschieht erst ab iOS 18.7.3 und 26.2.

Ostorlab rät dazu, mindestens iOS 18.7.3 beziehungsweise iOS 26.3 sowie Chrome für Android ab Version 146.0.7680.75 zu verwenden, automatische Aktualisierungen einzuschalten und nicht mehr vom Hersteller unterstützte Geräte zu ersetzen.

Am 4. November 2026 nahm die US-Behörde CISA die Schwachstelle CVE-2024-27834, die eine umgehung der Pointer-Authentifizierung bei Apple betrifft und einen CVSS-Wert von 5.5 aufweist, in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf.

Eine Zuschreibung der Kampagne an bestimmte Akteure nahm CISA nicht vor. Weder konkrete Opferzahlen noch Angriffsindikatoren wurden öffentlich herausgegeben; Hinweise auf betroffene Stellen in Israel liegen Sekoia zufolge nicht vor.