Resident NGO zufolge war die Kampagne stark personalisiert. Jeder Phishing-Link sei für eine bestimmte Person erstellt worden und habe deren Telefonnummer enthalten. So konnten die Angreifer offenbar nachverfolgen, wer den Link geöffnet hatte. Ein von der Kampagne anvisierter Nutzer erkannte den Phishingversuch, gab keine Zugangsdaten ein und meldete die Nachrichten zur Analyse an Resident NGO.

Die Forscher identifizierten 64 unterschiedliche Telefonnummern, die in individualisierten Phishing-Links eingebettet waren, überwiegend russische. Diese Nummern seien wahrscheinlich die vorgesehenen Ziele, erklärte Resident NGO. Allein aus diesen Datensätzen lasse sich jedoch nicht belegen, dass jeder Link tatsächlich zugestellt wurde oder dass irgendein Konto kompromittiert wurde.

Besonders auffällig war nach Einschätzung der Organisation nicht die gefälschte Anmeldeseite selbst, sondern die dahinterliegende Infrastruktur. Bevor die Phishing-Seite angezeigt wurde, prüften die Betreiber Browser und Gerät des Besuchers. Nur wenn diese Merkmale zum beabsichtigten Ziel passten, erschien eine gefälschte Telegram-Anmeldeseite. Sicherheitstools und viele Desktop-Nutzer wurden stattdessen auf die echte Telegram-Website oder andere harmlose Seiten umgeleitet. Das erschwerte die Erkennung des Angriffs deutlich.

Resident NGO beobachtete zudem Hinweise darauf, dass die Angreifer den Aufruf der Phishing-Links aktiv verfolgten. Nachdem ein Ziel die Seite besucht hatte, verschickten die Betreiber eine zweite Nachricht. Darin hieß es, die Kontoverifizierung sei noch nicht abgeschlossen, zugleich wurde vor verdächtigen Aktivitäten gewarnt.

Diese Nachricht enthielt Angaben zum Gerät der Person, zur Uhrzeit des Linkaufrufs und zum Internetanbieter. Laut den Forschern wurden diese Informationen beim Öffnen des Links erfasst. Das sollte die Warnung offenbar glaubwürdiger wirken lassen und zusätzlichen Druck erzeugen, den Anmeldeprozess abzuschließen.

Um automatisierte Erkennung weiter zu umgehen, verschleierten die Angreifer Teile ihrer Phishing-Nachrichten. Dazu ersetzten sie einzelne kyrillische Buchstaben durch optisch ähnliche lateinische und griechische Zeichen.

Wie viele Menschen tatsächlich ins Visier gerieten und ob am Ende Konten übernommen wurden, konnte Resident NGO nach eigenen Angaben nicht feststellen. Unklar sei auch das eigentliche Ziel der Kampagne und wie kompromittierte Konten gegebenenfalls genutzt worden wären.

Die in dieser Operation eingesetzten Methoden passen laut Resident NGO zu Kontenübernahme-Kampagnen, die wiederholt gegen die belarussische Zivilgesellschaft gerichtet waren. Viele dieser Angriffe setzten allerdings auf den Einsatz ausgefeilter Spionagesoftware auf den Geräten der Opfer.

Im Jahr 2024 stellten die Digitalrechtsorganisationen Access Now und Citizen Lab fest, dass mindestens sieben russisch- und belarussischsprachige Journalisten und Oppositionsaktivisten in Lettland, Litauen und Polen mit der Spionagesoftware Pegasus angegriffen worden waren. Im vergangenen Jahr machte Reporter ohne Grenzen zudem ein zuvor unbekanntes Spyware-Werkzeug namens ResidentBat öffentlich, das auf dem Telefon eines belarussischen Journalisten entdeckt wurde. Der Betroffene ging davon aus, dass die Malware während seiner Haft durch den belarussischen KGB installiert worden war.

Die aktuelle Kampagne zeige, so Resident NGO, dass einige der wirksamsten Angriffe auf die Zivilgesellschaft ganz ohne Malware auskommen. „Eine einzelne, sorgfältig formulierte Nachricht, privat zugestellt und auf eine bestimmte Person zugeschnitten, kann ausreichen, um ein Konto zu kompromittieren“, erklärten die Forscher.