Laut einer kürzlich veröffentlichten Recherche der Google Threat Intelligence Group (GTIG) spionieren die Gruppierung APT44 (auch bekannt als Sandworm) und andere russische Hacker Konten des Messenger-Dienstes Signal aus. Die Konten gehören ukrainischen Militärs- und Regierungsmitarbeitern. Dies geschieht häufig durch schädliche QR-Codes, aber auch mit Geräten, die bei Kampfhandlungen erbeutet wurden.
In der Untersuchung werden mehrere Taktiken beschrieben, darunter eine neue Technik, die die in Signal integrierte Funktion „gekoppelte Geräte“ ausnutzt. Die Angreifer können sich auf diesem Weg Zugang zu den Nachrichten des Opfers in Echtzeit verschaffen, wodurch sie ihre Opfer langfristig überwachen können und was es schwierig macht, die Eindringlinge zu entdecken.
Diese Angriffe sind oft als Gruppeneinladungen oder Sicherheitswarnungen getarnt; einige imitieren sogar Anwendungen des Militärs. Sobald der schädliche QR-Code gescannt wird, verbindet er das Signal-Konto des Opfers unbemerkt mit einer vom Angreifer kontrollierten Instanz, sodass Letzterer die sicheren Unterhaltungen des Opfers in Echtzeit abhören kann, ohne das Gerät vollständig zu kompromittieren.
Das Team von Signal hat als Reaktion auf diese Feststellungen eng mit GTIG zusammengearbeitet, um diese Aktivitäten zu untersuchen, und hat Updates für Android und iOS veröffentlicht, um die User in Zukunft vor ähnlichen Phishing-Kampagnen zu schützen. Signal-Nutzer sollten die App auf ihren Mobilgeräten auf die neueste Version aktualisieren.
Zu den erfolgreichen Angriffstechniken gehören:
- Remote-Phishing: Schadcode, der als Sicherheitswarnung getarnt ist, oder legitime Signal-Gruppeneinladungen, die auf eine bösartige Website umleiten und die Signal-Nachrichten des Opfers mit einem vom Angreifer kontrollierten Gerät verbinden.
- Maßgeschneidertes Phishing-Kit: Auf Signal zugeschnittene Phishing-Kits, die als spezielle Anwendungen erscheinen: Eines von ihnen imitiert beispielsweise Komponenten der Kropyva-Anwendung, die von den ukrainischen Streitkräften zur Steuerung der Artillerie verwendet wird.
- Bei Kampfhandlungen erbeutete Geräte: Russische Streitkräfte, die im Ausland eingesetzt und vermutlich von der Gruppierung APT44 (AKA Sandworm) unterstützt werden, haben Signal-Konten von erbeuteten Geräten mit der von den Akteuren kontrollierten Infrastruktur verknüpft, um sie anschließend auszunutzen.
Dan Black, Principal Analyst, Google Threat Intelligence Group und Autor dieser Recherche, betont: „Russlands Geheimdienste verstärken ihre Bemühungen, verschlüsselte Messaging-Apps wie Signal zu kompromittieren, da sie deren entscheidende Rolle bei der sensiblen Kommunikation westlicher Militärs, Politiker und anderer hochrangiger Personen erkannt haben.“
„Die unterschiedlichen Taktiken, mit denen Russland Signal ins Visier nimmt – von Phishing-Operationen aus der Ferne bis hin zur Ausnutzung durch physischen Zugang zu den Zielgeräten – sind ein dringendes Warnsignal dafür, dass die Dienste, auf die sich die Öffentlichkeit für eine sichere und private Kommunikation zunehmend verlässt, zunehmend bedroht werden.“
„Wir halten es für sehr wahrscheinlich, dass sich diese Taktiken über die Ukraine hinaus verbreiten und in naher Zukunft weltweit zum Einsatz kommen werden.“