DFIR Tech Blog – eine KI-Spielwiese

Linked-Device-Phishing: Wenn Angreifer sich in Signal & WhatsApp einklinken

07.07.2026 mobile-forensiksignalwhatsappphishing

Ein Feature wird zur Waffe

Seit Anfang 2025 beobachten Google Threat Intelligence, das FBI, CISA sowie mehrere europäische Nachrichtendienste eine Angriffswelle, die ohne eine einzige klassische Schwachstelle auskommt. Ziel sind Signal- und WhatsApp-Konten von Militärs, Diplomaten, Journalisten und zunehmend auch Unternehmensverantwortlichen. Der Trick: Statt Verschlüsselung zu brechen, missbrauchen die Angreifer die legitime “Linked Devices”-Funktion, mit der sich ein Messenger-Konto auf mehreren Geräten gleichzeitig nutzen lässt.

Die von Google als UNC5792 getrackte, mit UAC-0195 überlappende Gruppe hat dazu legitime Signal-Gruppeneinladungsseiten so verändert, dass der JavaScript-Code, der normalerweise zu einer Signal-Gruppe weiterleitet, durch einen bösartigen Block ersetzt wurde, der die URI zum Verknüpfen eines neuen Geräts mit dem Signal-Konto des Opfers enthält. Da das Koppeln eines Geräts normalerweise das Scannen eines QR-Codes voraussetzt, haben die Angreifer bösartige QR-Codes präpariert, die beim Scannen das Konto des Opfers mit einer von den Angreifern kontrollierten Signal-Instanz verknüpfen. Das Ergebnis: Jede künftige Nachricht wird synchron auch an das Angreifergerät zugestellt – in Echtzeit, dauerhaft, ohne dass die Ende-zu-Ende-Verschlüsselung selbst angetastet wird.

Bei WhatsApp läuft ein strukturell identischer Angriff unter dem Namen “GhostPairing”: Angreifer missbrauchen die Geräte-Kopplungsfunktion von WhatsApp, um Konten über Pairing-Codes zu kapern, ohne dass eine Authentifizierung erforderlich ist. Ein FBI/CISA-Advisory vom März 2026 bestätigt, dass die Angreifer Signals Verschlüsselung nicht gebrochen oder die App selbst gehackt haben, sondern stattdessen Phishing nutzten, um Zugriff auf einzelne Konten zu erlangen, wobei “tausende” mit ehemaligen US-Regierungsstellen verbundene Konten kompromittiert wurden.

Warum das die Forensik vor ein echtes Problem stellt

Für Incident Responder ist genau das die Krux: Es gibt kein Implantat, keine ausgeführte Payload, keine ausgenutzte CVE – nur ein Nutzer, der einem präparierten QR-Code oder Pairing-Code vertraut hat. Die klassische Frage “Welche Malware lief auf dem System?” läuft ins Leere. Stattdessen verschiebt sich die Beweislage vollständig auf Metadaten und Kontostrukturen:

• Geräteliste als Kernartefakt: Die Liste verknüpfter Geräte im Konto selbst wird zum wichtigsten forensischen Indikator – vorausgesetzt, sie wird rechtzeitig gesichert, bevor ein Angreifer sie manipuliert oder das Opfer sein Konto zurücksetzt.
• Minimale Server-Metadaten bei Signal: Signals Architektur ist bewusst so gebaut, dass selbst der Anbieter kaum verwertbare Daten besitzt. Ermittler, die auf richterliche Anordnungen mit Herausgabe von Verbindungsdaten hoffen, gehen bei Signal weitgehend leer aus.
• Kein Malware-Fund, aber Verhaltensänderung: Die Erkennung stützt sich auf Anomalien wie unerwartete “Neues Gerät verknüpft”-Benachrichtigungen, veränderte Übersetzungssprachen in Chats oder ungewöhnliche Zugriffszeiten – Indikatoren, die eher aus dem Verhaltens- als aus dem Datei-Bereich stammen.
• Kampagnenerkennung nur über Infrastruktur-Korrelation: Der Sicherheitsforscher Donncha Ó Cearbhaill identifizierte über ein automatisiertes Phishing-Tool namens “ApocalypseZ” mehr als 13.500 Ziele, die mit der Kampagne verbunden waren – eine Erkenntnis, die nur durch Analyse der Angreiferinfrastruktur, nicht durch Endgeräte-Forensik allein möglich war.

Was IR-Teams jetzt tun sollten

Wer Führungskräfte, Journalisten oder Mitarbeiter mit erhöhtem Risikoprofil schützt, sollte Playbooks um einen eigenen Baustein “Messenger-Account-Kompromittierung” erweitern: regelmäßige, dokumentierte Prüfung der Geräteliste in Signal und WhatsApp, sofortige Sensibilisierung bei jeder “Neues Gerät verknüpft”-Meldung, und die Etablierung eines Prozesses, um verknüpfte Geräte forensisch zu protokollieren, bevor sie entfernt werden. Für Unternehmen mit regulatorischen Pflichten kommt zusätzlich das alte Spannungsfeld zurück: DOJ und SEC verlangen nachvollziehbare Aufbewahrung von Geschäftskommunikation, während CISA und FBI aus Sicherheitsgründen explizit zu Ende-zu-Ende-verschlüsselten Messengern raten. Diese Kampagne zeigt: Selbst die sicherste Verschlüsselung schützt nicht vor einem Nutzer, der einen QR-Code scannt – und Forensiker müssen lernen, mit beweisarmen Kompromittierungen zu arbeiten, bei denen die stärkste Spur oft nur eine Geräteliste ist.