Három, vélhetően orosz kibertámadó csoportot figyeltek meg, amint legitim hitelesítési folyamatokat használnak fel arra, hogy Európában az akadémiai szférában, a repülőgépiparban és a védelmi iparban dolgozókat, kormányzati szereplőket és agytrösztöket, az Egyesült Államokban pedig egyetemeket és agytrösztöket vegyenek célba.

A három csoport: UNC6293, UNC7005 és UNC5976.

„Ezek a csoportok kitartó, alkalmazkodó adathalász kampányokat folytatnak, kifinomult social engineering taktikákkal próbálják feltörni a személyes fiókokat több platformon is” – írták a Google Threat Intelligence Group (GTIG) kutatói, Gabby Roncone és Wesley Shields a ma közzétett jelentésben.

Az UNC6293-at a technológiai óriás és a Citizen Lab 2025 júniusában mutatta be részletesen. A csoportot az Ice Relic (korábban APT29) egyik alcsoportjának tartják, amelyet Cozy Bear és Midnight Blizzard néven is követnek. A hekkercsoportot korábban ahhoz a kampányhoz kötötték, amelyben egy Google-fiók funkciót, az alkalmazásspecifikus jelszavakat használták ki, hogy átvegyék az áldozatok fiókjainak irányítását.

Azóta a támadók továbbra is adathalász kampányokat futtatnak, jellemzően kis létszámú célponttal, egyszerre legfeljebb öt felhasználóval. A támadások során a Külügyminisztérium tisztviselőinek adják ki magukat, és így próbálnak alkalmazásjelszavakat kicsalni. Az alkalmazásnevek és a csaliüzenetek diplomáciai témák köré épülnek, illetve közelgő konferenciákra vagy megbeszélésekre hivatkoznak, amelyek egy részét a Volexity 2025 decemberében kiemelte.

Google szerint még 2026 júniusában is látták, hogy a csoport OAuth adathalászatot folytat: arra kérik a célpontokat, hogy egy legitim bejelentkezés után osszák meg velük a teljes URL-t vagy az ellenőrző kódot a külső szolgáltatótól. Ha az áldozat átadja az ellenőrző kódot, a támadók hozzáférnek a fiókjához.

A második, hitelesítésre fókuszáló csoport, az UNC5976 szintén OAuth adathalász technikákat használ, és felhőinfrastruktúra segítségével automatizálja a tokenek begyűjtését. A feltételezések szerint legalább 2026 márciusa óta aktív.

„Az OAuth adathalász kampányokhoz az UNC5976 domaineket vásárolt, jellemzően fájlmegosztással kapcsolatos domainneveket, majd az adott domainhez kapcsolódó felhőprojektet hozott létre” – közölte a GTIG. „Ezeken a domaineken egy hamis fájlmegosztó oldal fut. Miután a célpont néhány másodpercig az oldalon marad, felugró bejelentkezési ablak jelenik meg.”

A felugró ablakban egy „Folytatás Google-lel” gomb jelenik meg. Ha az áldozat erre kattint, a rendszer a Google valódi OAuth bejelentkezési oldalára irányítja át, ahol be kell jelentkeznie a folytatáshoz. Sikeres hitelesítés után az áldozat egy Google Cloud projekt URL-jére kerül, ahol olyan kártékony scriptek futnak, amelyek a URL-ből kiolvassák a hitelesítési tokent, és félreteszik későbbi felhasználásra.

A becslések szerint a fenyegető szereplő legalább 12 új domaint és a hozzájuk tartozó infrastruktúrát hozta létre 2026 márciusa óta. Google mindet felszámolta. Emiatt az UNC5976 elmozdult a Google infrastruktúrájáról, és más szolgáltatóknál helyezte el az adathalász oldalait.

UNC7005 WhatsApp-fiókok eltérítésének folyamata

Az UNC5976 emellett egy HEADRUSH kódnevű, rosszindulatú Excel-bővítményt is használ, amely egy HTML Application (HTA) letöltését indítja el. A kártevőt 2026 áprilisában azonosították, és egy ukrán kutatóintézetet utánzó hamis domainen keresztül terjesztik. Vannak jelek arra, hogy ezzel egy ukrán repülőgépipari és képalkotó céget is célba vehettek, bár a fertőzés teljes kiterjedése továbbra sem ismert.

„Műveleti fókusza elsősorban a hadseregre, a repülőgépiparra, a védelmi ipari bázisra, valamint a civil szervezetekre és agytrösztökre irányul” – közölte a Google. „A csoport földrajzi célpontjai nagyrészt Ukrajnára és Örményországra koncentrálnak.”

Az UNC7005 sokféle taktikát vet be

A GTIG kutatásának középpontjában az UNC7005 (más néven Storm-2945) áll, amelyet 2026 februárjában azonosítottak. Főként az akadémiai szférában, a diplomáciai testületeknél és a nonprofit szervezeteknél dolgozókat célozza Ukrajnában, Nyugat-Európában és az Egyesült Államokban.

Úgy vélik, hogy az UNC6293 és az UNC7005 is az Ice Relic egy olyan alcsoportjához tartozik, amely a kezdeti hozzáférés megszerzésére szakosodott, míg a kompromittálás utáni tevékenységekhez kereskedelmi lakossági proxykat használ. Az UNC7005 az UNC6293-hoz hasonlóan rendkívül célzott, alkalmazásjelszóra épülő adathalász kampányokat folytat, amelyek a Kreml számára fontos személyeket vesznek célba.

A hekkercsoport device code adathalász támadásokat is végrehajt Microsoft- és WhatsApp-fiókok ellen. A Microsoft-fiókok elleni támadásoknál adathalász e-maileket küldenek, amelyekben diplomáciai eseményekre és konferenciákra szóló meghívók szerepelnek. Az üzenetekben egy, a támadók által irányított oldalra mutató link található, amely profilozza a látogatót, majd arra kéri, erősítse meg részvételét az eseményen, és adja meg, milyen főfogást és bort választana.

Érdemes megjegyezni, hogy a bor tematikájú csalik visszatérő motívumnak számítanak az Ice Relic támadásaiban, legalább 2023 áprilisa óta. A Zscaler a tevékenység egyes elemeit SPIKEDWINE fedőnévvel illette.

„2026 májusában és júniusában az UNC7005 olyan social engineering akciókat hajtott végre, amelyekben a WhatsAppot hamisította meg” – közölte a Google. „A támadók által terjesztett adathalász oldalak arra veszik rá a célpontokat, hogy kapcsolják össze WhatsApp-fiókjukat egy, a támadók által irányított eszközzel, azért, hogy egy biztonságos WhatsApp-híváshoz, csevegéshez vagy dokumentummegosztáshoz csatlakozzanak. Miután az eszköz összekapcsolása megtörtént, a támadó többféle további kompromittálási módszert is megpróbál.”

Amint az áldozat megnyitja az oldalt, az a telefonszáma megadására kéri. A szám alapján a rendszer egy valódi WhatsApp-eszközösszekapcsolási kérelmet hoz létre a támadó eszközével, majd megjeleníti az áldozatnak a valódi QR-kódot és összekapcsolási kódot, valamint lépésről lépésre elmagyarázza, hogyan kell összekapcsolni az eszközt.

Miután a célpont fiókját sikeresen hozzákötötték a támadó WhatsApp-eszközéhez, az adathalász oldal újabb ablakot jelenít meg, amelyben a felhasználó választhat: csatlakozik egy hanghíváshoz, egy titkosított csevegéshez, vagy letölt egy fájlt. Ha az áldozat a hanghívást választja, az JavaScript-kód futását indítja el, amely rögzíti a hangot és a videót, majd a felvételt egy parancs- és vezérlőszerverre (C2) továbbítja.

Ha a titkosított csevegés opciót választják, a JavaScript arra utasítja a célpontot, hogy másolja ki a megjelenített felhasználónevet és jelszót, majd ezekkel jelentkezzen be egy másodlagos URL-en. A fájl letöltésének pontos természete egyelőre nem ismert.

2026 májusa körül az UNC7005 tovább finomította módszereit, és olyan, széles körben elérhető adatlopó kártevőket is bevetett, mint a Vidar és az Atomic (más néven AMOS), hogy Windows és macOS rendszerekről szivárogtasson ki adatokat. Amerikai egyetemi kutatókat, diplomatákat és Oroszországra, illetve a volt szovjet államokra fókuszáló elemzőket céloztak meg olyan e-mailekkel, amelyekben kártékony URL-ekre mutató linkek szerepeltek. A link egy olyan weboldalra vezet, amely egy, „Ukrajna támogatásáról szóló határozathoz” kapcsolódó csúcstalálkozót utánoz, és arra ösztönzi a címzetteket, hogy töltsenek le egy kísérő alkalmazást, ha el akarják olvasni a teljes határozatot.

„2026 augusztusának elején az UNC7005 Google-fiókok elleni OAuth adathalász kampányokba kezdett felhős infrastruktúra használatával” – írta a GTIG. „2026. július 31-től kezdve az UNC7005 olyan domaineket regisztrált, amelyek a valódi Finnish Operations Centert (FOC) utánozzák. Ez a szervezet a védelmi és biztonsági piacon működő finn cégeket segíti, különösen az Észak-atlanti Szerződés Szervezetéhez (NATO) kapcsolódó ügyekben.”

„2026. augusztus 6. és 13. között az UNC7005 célzott adathalász e-maileket küldött, amelyek egy támadók által irányított domainre mutató linket tartalmaztak, és az európai védelmi iparban dolgozó vagy ahhoz kapcsolódó szereplőket vették célba.”

Ha a felhasználó eljut a domainre, a rendszer egy valódi Google OAuth bejelentkezési oldalra irányítja át, ahol a saját fiókjával kell belépnie. Sikeres hitelesítés után az áldozatokat egy támadók által irányított, nem ellenőrzött cloud projektre küldik tovább, ahol ellopják a hitelesítési tokeneket, és így a támadók átvehetik a fiókok feletti irányítást.

Ezek az akciók kapcsolódnak a CaptiveCrunch nevű kampányhoz is, amelyet a közelmúltban a ReliaQuest és a Microsoft dokumentált. A tevékenység kifejezetten captive Wi-Fi portálokat vesz célba – például hotelekben, konferenciaközpontokban és repülőtereken az Egyesült Államokban és más országokban –, hogy észrevétlenül a támadók infrastruktúrájára irányítsa át a felhasználókat, és így megszerezze a hitelesítő adatokat.

A támadók adminisztrátori hozzáférést szereznek a Wi-Fi gatewayekhez, módosítják az eszközök konfigurációját, és DNS-mérgezést alkalmaznak, hogy a normál webes forgalmat átirányítsák. Így a legitim domainek felé irányuló kapcsolatok is a támadók által irányított infrastruktúrán keresztül mennek. A Microsoft szerint ezek a forgalommanipulációs támadások 2026 májusa eleje óta folyamatosan zajlanak.

„A tevékenység egy részénél a támadók olyan doppelgänger domaineket használnak, amelyek a Microsoft online szolgáltatásait utánozzák. Ezekkel további, adversary-in-the-middle (AitM) típusú adathalász támadásokat hajtanak végre, amelyek a Microsoft Entra ID eszközkód-alapú hitelesítési folyamatát használják ki” – közölte a Microsoft.

A felhasználók támadók által irányított adathalász infrastruktúrán keresztüli átirányítása mellett a fenyegető szereplő AitM pozícióját arra is felhasználta, hogy kártevőt terjesszen. A böngészők által automatikusan végrehajtott kapcsolódási ellenőrzésekre válaszul böngésző- vagy operációsrendszer-frissítésnek álcázott kártékony kódot kínál fel.

Ennek eredményeként vagy egy CornFlake RAT nevű, Go-alapú távoli hozzáférésű trójai, vagy egy ChocoShell (más néven CHERRYPIE) nevű PowerShell payload kerülhet a rendszerre, amelyet ClickFix csalin keresztül juttatnak el. A trójai rendszerinformációkat gyűjt, fájlokat és leütött billentyűket szerez meg, hitelesítő adatokat és munkamenet-tokeneket lop, hang- és videómegfigyelést végez, figyeli a cserélhető adathordozókat, és távoli shellt nyit a fertőzött rendszereken.

A ChocoShell ezzel szemben egy PowerShell-alapú adatlopó, amely a böngészők munkamenet-sütijeinek ellopására szolgál. Képes megkerülni a Chrome app-bound encryption (ABE) védelmét, megszerezni a mentett jelszavakat, a Microsoft 365 Single Sign-On (SSO) tokeneket és a Wi-Fi hitelesítő adatokat a kompromittált rendszerekről. A bizonyítékok arra utalnak, hogy a kártevőt feltehetően egy nagy nyelvi modell (LLM) generálta.

Az egész műveletet egy FruitStone nevű, központosított, webes C2 panelről irányítják. A felületen „CloudSync Console” néven fut, és „Acuity Systems, Inc.” névhez kapcsolódik, feltehetően azért, hogy legitim felhőmenedzsment szoftvernek tűnjön, és így elkerülje a lebukást.

„A FruitStone egy egyoldalas alkalmazás (HTML és JavaScript), amely a C2 szerver frontendjeként működik, és minden funkció hitelesítés nélkül elérhető. Központi dashboardot biztosít a kompromittált végpontok kezeléséhez, új kampánypayloadok összeállításához és terítéséhez, valamint az összegyűjtött adatok (például képernyőképek, leütött billentyűk, böngészőhitelesítők) áttekintéséhez” – közölte a Microsoft.

A GTIG legfrissebb megállapításai szerint a CaptiveCrunch nem „a semmiből bukkant fel”, az UNC7005 pedig párhuzamosan több kampányt is futtat, hogy hozzáférést szerezzen az áldozatok fiókjaihoz.

CaptiveCrunch és lehetséges ellátási lánc elleni támadás

A Lumen Black Lotus Labs ugyanennek a kampánynak a folyamatos követése alapján felvetette annak lehetőségét, hogy a támadó több Managed Service Providert (MSP-t) is kompromittált, majd az ügyfeleikkel fennálló bizalmi viszonyt használta ki egy ellátási lánc elleni támadásban.

„Miután bejutottak az ügyfelek hálózataiba, utazókat célozhattak meg úgy, hogy eltérítették a DNS-lekérdezéseket egy kompromittált Wi-Fi routeren. Az áldozatokat hamis hitelesítési portálokra irányították át, hogy megszerezzék az OAuth tokeneket, vagy a támadó egy infostealert telepített” – írta a cég a The Hacker Newsnak megosztott jelentésében.

A CaptiveCrunch feltehetően MSP-ket céloz

A Lumen telemetriai adatai körülbelül 70 áldozati IP-címet azonosítottak, amelyek közül 40 egyedi IP küldött DNS-lekérdezéseket a CaptiveCrunch-hoz köthető C2-k felé. „Úgy értékeltük, hogy ezek a helyszínek azokat a pontokat jelzik, ahol a támadó hozzáféréssel rendelkezett, és valamilyen felderítést végzett, feltehetően úgy, hogy a DNS-lekérdezéseket a saját resolvereihez irányította át, hogy eldöntse, az adott helyszíneken tartózkodó utazók közül ki lehet számára további célpont” – tették hozzá.

További 30 egyedi IP-címről derült ki, hogy a támadó AitM infrastruktúrájával kommunikált tokenek begyűjtése céljából, míg egyetlen IP-címet figyeltek meg, amely a ChocoShell C2 szerverével lépett kapcsolatba.

„Oroszország hitelesítésre fókuszáló kémkedési műveleteinek ezek a klaszterei többféle hitelesítési módot céloznak, legitim funkciókat és infrastruktúrát kihasználva, az alkalmazásjelszavaktól az eszközök összekapcsolásáig” – írta a GTIG. „Különösen az, ahogyan kreatívan visszaélnek legitim funkciókkal a fiókok kompromittálására, megnehezíti a legitim és a rosszindulatú fiókhozzáférések megkülönböztetését.”

„Ezeknek a taktikáknak a kombinációja nemcsak azt teszi lehetővé a támadó számára, hogy gyors adatkiszivárogtató műveleteket hajtson végre, hanem további lehetőséget is ad arra, hogy a már kompromittált, de legitim fiókokból újabb, számára érdekes célpontokat phishinggeljen meg.”