Mobile-Menu

Russische APT-Gruppe unter Verdacht Apple-Schwachstelle von 2024 in Angriffskampagne eingesetzt

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

secunet Security Networks AG

Eine aktuell Spionagekampagne kombiniert eine 2024 behobene Apple-Schwachstelle mit einem weiteren WebKit-Fehler, um Cookies auf ungepatchten iPhones zu stehlen. Ein Zusammenhang mit den jüngsten Warnungen zur „Mercenary Spyware“ ist nicht belegt.

Eine mutmaßlich von der russischen APT29 durchgeführte Spionagekampagne nutzte WebKit-Schwachstellen auf ungepatchten Apple-Geräten, vor allem um Browser-Cookies von iPhones mit iOS 16.7 zu stehlen.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Eine mutmaßlich von der russischen APT29 durchgeführte Spionagekampagne nutzte WebKit-Schwachstellen auf ungepatchten Apple-Geräten, vor allem um Browser-Cookies von iPhones mit iOS 16.7 zu stehlen.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Eine bereits 2024 behobene Sicherheitslücke in Apples Browser-Engine WebKit ist Bestandteil einer von Sekoia beschriebenen Angriffskampagne. Die Schwachstelle EUVD-2024-25027 / CVE-2024-27834 (CVSS-Score 5.5, EPSS-Score* 1.50) betrifft unter anderem iOS und iPadOS sowie Safari, macOS, tvOS und watchOS.

Angriffskette zielt auf iOS 16.7

Laut Apple kann ein Angreifer, der bereits beliebige Speicherbereiche lesen und beschreiben kann, mit der Sicherheitslücke den Schutzmechanismus Pointer Authentication umgehen. Sekoia zufolge kombinieren Angreifer auf ungepatchten Geräten mit iOS 16.7 die WebKit-Sicherheitslücke EUVD-2025-203963 / CVE-2025-43529 mit EUVD-2024-25027 / CVE-2024-27834, um Browser-Cookies zu stehlen. Die ältere Sicherheitslücke verschafft dem Angreifer allein keinen Erstzugriff auf ein Gerät.

Staatliche Spionagegruppe als Täter vermutet

Sekoia berichtet, seine Forscher seien Mitte Oktober erstmals auf die Kampagne gestoßen. Sie schreiben die Aktivitäten mit mittlerer bis hoher Sicherheit APT29 zu, einer russischen, staatlich unterstützten Spionagegruppe, die Sicherheitsbehörden dem Auslandsnachrichtendienst SVR zuordnen. Dem Analystenbericht zufolge war auch das Webanalyse-Skript Plerdy vom 27. August bis 3. September 2026 kompromittiert und diente dazu, Schadcode auf Webseiten einzuschleusen. Die CISA nahm EUVD-2024-25027 / CVE-2024-27834 am 4. November 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf. Ein Zusammenhang mit den Ende Oktober bekannt gewordenen Apple-Warnungen an deutsche Politiker ist nicht belegt. Das BSI hatte erklärt, ihm lägen keine näheren Informationen zu Anlass und Hintergründen dieser Warnungen vor.

Updates schließen die Schwachstelle

Apple behob die Sicherheitslücke mit folgenden Updates bereits im Mai 2024:

  • Safari 17.5
  • iOS und iPadOS 16.7.8 sowie 17.5
  • macOS Sonoma 14.5
  • tvOS 17.5
  • watchOS 10.5

Nutzer und Administratoren sollten sicherstellen, dass ihre Geräte mindestens diese oder neuere Versionen nutzen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:51012220)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte