Im Herbst 2026 identifizierten die Sicherheitsforscher von Sekoia eine groß angelegte Water-ing-Hole-Kampagne, die mobile Geräte von iOS- und Android-Nutzern kompromittierte. Die Operation, unter dem Codenamen "Poisoned Source" bekannt, nutzte ausschließlich bereits gepatchte N-Day-Schwachstellen, setzte drei Zero-Click-Exploit-Ketten ein und griff über eine präzise Lieferkettenkompromittierung den ukrainischen Web-Analyse-Dienst Plerdy an. Ziel war der Diebstahl von Browser-Cookies, um Multi-Faktor-Authentifizierungen von Unternehmens- und Diplomatenkonten zu umgehen.

Hintergrund und Attribution

Aufgrund technischer Überschneidungen, operativer Muster und der Opferprofilanalyse schreiben Sekoia und weitere Analysen die Kampagne mit mittlerer bis hoher Wahrscheinlichkeit der russischen Hackergruppe APT29 zu, die dem Auslandsgeheimdienst (SVR) zugeordnet wird. Die Verantwortlichen nutzten bekannte Schwachstellen, die bereits von Apple und Google geschlossen worden waren, was den Angriff auf nicht aktualisierte Geräte beschränkte.

Technische Details der Attacke

Lieferkettenkompromittierung über Plerdy SEO Tracker

Ein zentraler Bestandteil der Kampagne war die Kompromittierung des ukrainischen Web-Analyse-Dienstes Plerdy SEO Tracker. Zwischen dem 27. August und dem 3. September 2026 (7 Tage) wurde Schadcode in die JavaScript-Datei a.plerdy.com/public/js/click/main.js injiziert. Durch diese Manipulation wurden hunderte legitime Kunden-Websites - vor allem ukrainische Regierungs-, Militär- und Zivildienste - zu Verteilern des Exploits.

  • Zeitfenster der Injektion: 27. Aug.-3. Sept. 2026
  • Betroffene Websites: Hunderte, primär laut- und Regierungsseiten
  • Technischer Ablauf: Schadcode in main.js → Auslieferung an Besucher*innen

N-Day-Exploit-Ketten ohne Nutzerinteraktion (Zero-Click)

Die Angreifer setzten drei plattformspezifische Exploit-Ketten ein, die bereits veröffentlichte N-Day-Lücken ausnutzten. Alle Sicherheitslücken waren zum Zeitpunkt des Angriffs von Apple bzw. Google gepatcht, sodass nur Geräte ohne aktuelle Systemupdates gefährdet waren.

  • Anzahl paralleler Exploit-Ketten: 3
  • Betroffene Plattformen: verschiedene iOS- und Android-Builds
  • Persistenz der Payloads: 0 - ein einfacher Neustart des Smartphones entfernte den Schadcode vollständig

Primäres Ziel: Session-Hijacking und Cookie-Diebstahl

Die finale Payload war darauf ausgerichtet, aktive Browser-Cookies zu stehlen. Durch den Abgriff gültiger Session-Tokens konnten Angreifer die Multi-Faktor-Authentifizierung (MFA) von Diensten wie Microsoft 365 oder Web-Mail umgehen und sich unbemerkt Zugriff auf Unternehmens- und Diplomatenkonten verschaffen.

  • Hauptsicherheitsrisiko: Session-Hijacking
  • Konsequenz: Umgehung von Passwörtern und MFA durch gestohlene Authentifizierungs-Cookies

So gingen die Angreifer bei ihrer Angriffskampagne vor

Die Hacker:innen nutzten drei Infektionsvektoren:

  • Direkte JavaScript-Injektion in den Datenverkehr legitimer Websites
  • Einrichtung von Proxy-Domains, die als Reverse-Proxy fungierten und bösartigen Code einfügten
  • Kompromittierung der Lieferkette des ukrainischen Web-Analyse-Dienstes Plerdy

In der ersten Phase erstellte das injizierte JavaScript ein Profil des Browsers und des Geräts der Besucher:innen. Anschließend lösten die Angreifer:innen anhand dieser Informationen eine von drei Zero-Click-Exploit-Ketten aus, die ohne Interaktion der Opfer funktionierten.

Einbettung des dargebotenen Entwurfs

Hinter der Operation, die von den Sicherheitsforschern von Sekoia TDR unter dem Codenamen "Poisoned Source" geführt wird, steckt ein bemerkenswerter technologischer Kniff: Die Angreifer investierten keine wertvollen Zero-Day-Lücken, sondern setzten gezielt auf sogenannte N-Day-Exploit-Ketten (Garçon & Aime, 2026). Alle drei genutzten Angriffsketten zielten auf Sicherheitslücken ab, die von Apple und Google bereits vor Beginn der Angriffe gepatcht worden waren. Gefährdet waren folglich nur Smartphones, deren Betriebssysteme nicht auf dem aktuellen Stand gehalten wurden. Wer sein iPhone oder Android-Gerät zeitnah aktualisiert hatte, war vor der Infektion geschützt.

Ein Schwerpunkt der Verteilung lag in einem direkten Lieferkettenangriff auf den ukrainischen Web-Tracker Plerdy. Zwischen dem 27. August und dem 3. September 2026 schleuste die Hackergruppe Schadcode in die zentrale Skriptdatei des Anbieters ein, wodurch Hunderte zivile und militärische Websites in der Ukraine zeitweise kompromittiert wurden (Sekoia, 2026). Die injizierten Payloads waren bewusst nicht-persistent konzipiert: Ein einfacher Neustart des Smartphones entfernte den Schadcode. Das eigentliche Ziel von APT29 lag vor allem im schnellen Diebstahl aktiver Browser-Sitzungscookies, mit denen die Spione die Multi-Faktor-Authentifizierung von Unternehmens- und Diplomatenkonten geräuschlos umgehen konnten.

Auswirkungen und Risiken für Unternehmen

Die Kampagne zeigte, dass selbst ohne Zero-Day-Exploits erhebliche Gefahren für Unternehmen bestehen, wenn Nutzer veraltete Geräte verwenden. Dennoch gibt es klare Schutzfaktoren:

  • Keine Gefährdung für gepatchte Endgeräte: Aktuelle Systemupdates schließen die genutzten N-Day-Lücken vollständig.
  • Fehlende Persistenz mindert den Dauerzugriff: Nach einem Neustart des Gerätes ist der Schadcode verschwunden, das Risiko verlagert sich auf bereits exfiltrierte Sitzungs-Tokens, die serverseitig invalidiert werden müssen.

Praktische Handlungsempfehlungen für Administratoren

  • Umgehende Aktualisierung aller iOS- und Android-Geräte auf die neuesten Sicherheitspatches.
  • Serverseitige Invalidierung verdächtiger Session-Tokens, insbesondere für Microsoft 365, Web-Mail und andere Cloud-Dienste.
  • Aufs Durchführen von Passwort- und WLAN-Passwort-Resets, sobald ein Nutzer eine potenziell gefährdete Website besucht hat.
  • Monitoring von verdächtigen Zugriffs- und Authentifizierungs-Muster in Logs, um mögliche Session-Hijacks zu erkennen.
  • Regelmäßige Überprüfung von Drittanbietern und deren Lieferketten, insbesondere von Web-Analyse-Tools, auf Manipulationen.

FAQ - Häufig gestellte Fragen

Welcher Webanalyse-Dienst war konkret von dem Lieferkettenangriff betroffen?Es handelte sich um den ukrainischen Dienst Plerdy SEO Tracker. Sein Skript wurde zwischen dem 27. August und dem 3. September 2026 manipuliert und liefern bösartigen Code an Besucher hunderter Websites.Waren aktuelle Smartphones von den Angriffen betroffen?Nein. Die Sicherheitsforscher von Sekoia betonten, dass ausschließlich bereits geschlossene N-Day-Lücken genutzt wurden; Geräte mit aktuellen Systemupdates waren sicher.Was sollten Administratoren tun, wenn Nutzer gefährdete Websites besucht haben?Da die Payloads vor allem Sitzungs-Cookies entwendeten, sollten aktive Anmeldesitzungen (insbesondere Microsoft 365 und Cloud-Dienste) sofort serverseitig widerrufen und Passwörter für genutzte WLAN-Netzwerke geändert werden.

Fazit

Die "Poisoned Source"-Kampagne verdeutlicht, wie staatlich unterstützte Akteure wie APT29 gezielte Lieferkettenangriffe und N-Day-Exploit-Ketten einsetzen, um auf mobilen Geräten Session-Daten zu stehlen - ohne dabei Zero-Days zu benötigen. Der Erfolg der Angriffe hing ausschließlich von veralteten Betriebssystem-Versionen ab. Damit demonstriert die Analyse eindrucksvoll, dass konsequente Patch-Management-Strategien und das schnelle Invalidieren kompromittierter Sitzungs-Tokens die wirksamsten Gegenmaßnahmen darstellen. Unternehmen sollten ihre mobilen Endgeräte regelmäßig aktualisieren, Lieferketten von Drittanbietern prüfen und sofort auf verdächtige Cookie-Diebstähle reagieren, um das Risiko einer unautorisierten Kontenübernahme zu minimieren.