SecBoard
Zurück zur Übersicht
Kritisch81 / 100Konfidenz: Mittel
In CISA KEVCVSS8.8EPSS55 %Über Netz erreichbarOhne Anmeldung

Sicherstellen, dass alle iOS- und Android-Geräte auf die neuesten Betriebssystemversionen aktualisiert sind, um bekannte Schwachstellen zu schließen.

▸Herleitung der Bewertung(7)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2025-43529, CVE-2024-27834, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520+25
  • Hoechster CVSS-Basiswert 8.8+16
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-43529, CVSS-Vektor AV:N/PR:N)+10
  • Lieferketten-Kompromittierung — Thema: supply chain, poisoned | Ereignisbeleg: targeted, exfiltrated+10
  • EPSS 55.3 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+8
  • Belegte ATT&CK-Technik zum Erstzugriff+6
  • 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 5 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-20700, CVE-2026-3910, CVE-2025-27038, CVE-2024-5274, CVE-2024-4671

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

IT / Cloud / SaaS

APT29-Linked Hackers Hijack Web Analytics Script to Deliver iOS and Android Exploits

The Hacker News·
Originalartikel lesen bei The Hacker News

Die russische Hackergruppe APT29 nutzte eine Watering-Hole-Kampagne, um iOS- und Android-Nutzer anzugreifen. Dies geschah durch kompromittierte Websites, gefälschte Domains und eine Supply-Chain-Attacke über den ukrainischen Webanalyse-Dienst Plerdy SEO Tracker. Ziel war es, Browser-Cookies, WLAN-Passwörter und vollständige mobile Gerätedaten zu stehlen. Nutzer sollten ihre Geräte auf dem neuesten Stand halten und verdächtige Websites meiden.

SecBoard-Einordnung

Diese Kampagne stellt ein erhebliches Risiko für den Diebstahl sensibler Daten dar, einschließlich Anmeldeinformationen und vollständiger Gerätedaten, was zu weiteren Kompromittierungen führen kann. Die Nutzung eines legitimen Webanalyse-Dienstes für die Verbreitung erhöht die Schwierigkeit der Erkennung.

Realistisch schlimmster Fall: Der schlimmste Fall ist der vollständige Diebstahl mobiler Gerätedaten, einschließlich Browser-Cookies und WLAN-Passwörtern, was zu unbefugtem Zugriff auf Unternehmensnetzwerke und -konten führen kann.

Empfehlung: Sicherstellen, dass alle iOS- und Android-Geräte auf die neuesten Betriebssystemversionen aktualisiert sind, um bekannte Schwachstellen zu schließen. Mitarbeiter sollten für die Risiken von Watering-Hole-Angriffen und verdächtigen Websites sensibilisiert werden.

Im erfassten Bestand

  • ▸20. erfasste Meldung zu APT29 innerhalb von 90 Tagen.
  • ▸CVE-2025-43529 kommt damit in 5 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2025-14174CISA KEV
CVSS
8.8 · HIGH
EPSS
55.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2025-12-12
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2025-43529CISA KEV
CVSS
8.8 · HIGH
EPSS
25.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2025-12-15
Patch
unbekannt
Zuweisende CNA
product-security@apple.com
CVE-2025-43510CISA KEV
CVSS
7.8 · HIGH
EPSS
0.4%
Über das Netz
nein
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-03-20
Patch
unbekannt
Zuweisende CNA
product-security@apple.com
CVE-2024-27834CISA KEV
CVSS
5.5 · MEDIUM
EPSS
1.5%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Integrität
im KEV seit
2026-11-04
Patch
unbekannt
Zuweisende CNA
product-security@apple.com
CVE-2025-43520CISA KEV
CVSS
5.5 · MEDIUM
EPSS
0.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
im KEV seit
2026-03-20
Patch
unbekannt
Zuweisende CNA
product-security@apple.com
CVE-2024-4671

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2024-5274

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2025-27038

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-20700

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-3910

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Organisationen, deren Mitarbeiter iOS- und Android-Geräte nutzen und Websites besuchen, die den Plerdy SEO Tracker verwenden oder kompromittiert wurden. Insbesondere Nutzer, die anfällige mobile Betriebssystemversionen verwenden.

Hersteller

AppleFedoraprojectGoogleMicrosoftWebkitgtkWpewebkit

Produkte

ChromiumMultiple ProductsChromeEdge ChromiumFedora2 VersionenIpadosIphone OsMacosSafariTvosVisionosWatchos+2 weitere
▸ CPE-Rohbezeichner anzeigen (16)
  • cpe:2.3:a:apple:safari:*:*:*:*:*:*:*:*
  • cpe:2.3:a:google:chrome:*:*:*:*:*:*:*:*
  • cpe:2.3:a:microsoft:edge_chromium:*:*:*:*:*:*:*:*
  • cpe:2.3:a:webkitgtk:webkitgtk:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wpewebkit:wpe_webkit:*:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:ipados:*:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:ipados:26.0:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:iphone_os:*:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:iphone_os:26.0:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:macos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:macos:26.0:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:tvos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:visionos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:apple:watchos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:39:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:40:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob in Ihrer Organisation mobile Geräte mit veralteten iOS- oder Android-Versionen verwendet werden.
  • ▸Überwachen Sie den Netzwerkverkehr von mobilen Geräten auf ungewöhnliche Verbindungen oder Datenexfiltration.
▸ 1 weitere
  • ▸Führen Sie regelmäßige Audits von Websites durch, die von Ihrer Organisation genutzt werden, insbesondere solchen, die Drittanbieter-Webanalyse-Dienste integrieren.

Offene Punkte

3
▸ anzeigen
  • ▸Spezifische CVEs oder N-Day-Exploits, die verwendet werden, sind nicht angegeben.
  • ▸Die genaue Methode, wie die Websites kompromittiert wurden, ist nicht detailliert.
  • ▸Die Anzahl der betroffenen Websites oder Nutzer ist nicht spezifiziert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Können wir Initial Access detektieren?
  • Können wir Stealth detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure
APT29G0016

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(9)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1119Automated Collectionzugeordnet

„vollständige mobile Gerätedaten zu stehlen“

T1196Supply Chain Compromisezugeordnet

„Supply-Chain-Attacke über den ukrainischen Webanalyse-Dienst Plerdy SEO Tracker“

T1204.001User Execution: User Execution: Malicious Linkzugeordnet

„Watering-Hole-Kampagne, um iOS- und Android-Nutzer anzugreifen“

T1539Steal Web Session Cookiezugeordnet

„Browser-Cookies ... zu stehlen“

T1552.001Unsecured Credentials: Unsecured Credentials: Credentials in Fileszugeordnet

„WLAN-Passwörter ... zu stehlen“

T1566.002Phishing: Phishing: Spearphishing Linkzugeordnet

„kompromittierte Websites, gefälschte Domains“

T1036Masqueradingabgeleitet
T1195Supply Chain Compromiseabgeleitet
T1566Phishingabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

2

›

Ausnutzung

0

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Akteursprofile

APT29

ATT&CK-Heatmap

ATT&CK-Heatmap
Vollständigen Artikel lesen bei The Hacker News