UNC6293 hatten Google und Citizen Lab bereits im Juni 2025 beschrieben. Nach Einschätzung von Google handelt es sich um ein Teilcluster von Ice Relic. Die Gruppe war zuvor mit einer Kampagne in Verbindung gebracht worden, die anwendungsspezifische Passwörter von Google-Konten missbrauchte, um die Kontrolle über Konten zu übernehmen. Seitdem setzt der Akteur laut Google weiter auf eng begrenzte Phishing-Angriffe mit weniger als fünf Zielpersonen gleichzeitig und gibt sich dabei als Mitarbeiter des US-Außenministeriums aus. Die Köder drehen sich um diplomatische Themen sowie bevorstehende Konferenzen und Treffen; einige davon hatte Volexity im Dezember 2025 hervorgehoben.
Wie Google weiter berichtet, beobachtete das Unternehmen bei UNC6293 noch im Juni 2026 OAuth-Phishing. Die Angreifer forderten Ziele dazu auf, nach einer legitimen Anmeldung bei einem externen Anbieter entweder die vollständige URL oder einen Bestätigungscode zu teilen. Wird dieser Code weitergegeben, ermöglicht er den Angreifern den Zugriff auf das Konto des Opfers.
Auch UNC5976 konzentriert sich auf Authentifizierungsverfahren. Die Gruppe ist laut Google mindestens seit März 2026 aktiv und nutzt OAuth-Phishing, während sie das Einsammeln von Tokens über missbrauchte Cloud-Infrastruktur automatisiert. Dafür registrierte der Akteur Domains, meist mit Bezug zu Dateifreigaben, und richtete dazu passende Cloud-Projekte ein. Auf diesen Domains lieferten die Angreifer eine gefälschte Dateifreigabeseite aus, die nach einigen Sekunden ein Anmeldefenster mit „Weiter mit Google“ einblendet. Nach erfolgreicher Anmeldung auf der legitimen Google-OAuth-Seite wurden die Opfer auf eine Google-Cloud-Projekt-URL geleitet, auf der schädliche Skripte den Authentifizierungs-Token aus der URL extrahierten und für die spätere Nutzung vorbereiteten.
Google schätzt, dass UNC5976 seit März 2026 mindestens zwölf neue Domains und zugehörige Infrastruktur aufgebaut hat. Diese Infrastruktur sei inzwischen von Google gestört worden, woraufhin die Gruppe auf andere Anbieter zum Hosting ihrer Phishing-Seiten ausgewichen sei. Zusätzlich beobachtete Google bei UNC5976 ein bösartiges Excel-Plugin mit dem Codenamen HEADRUSH, das einen HTA-Downloader ausliefert. Die im April 2026 entdeckte Malware wurde über eine gefälschte Domain verbreitet, die sich als ukrainisches Forschungsinstitut ausgab. Es gebe Hinweise auf einen Einsatz gegen ein ukrainisches Unternehmen aus Luft- und Raumfahrt sowie Bildgebung, der volle Umfang bleibe aber unklar. Laut Google liegt der operative Schwerpunkt der Gruppe auf Militär, Luft- und Raumfahrt, der Verteidigungsindustrie sowie NGOs und Thinktanks; geografisch stehe vor allem die Ukraine und Armenien im Fokus.
Den Schwerpunkt der aktuellen GTIG-Untersuchung bildet jedoch UNC7005, auch als Storm-2945 bekannt. Google identifizierte die Gruppe im Februar 2026. Sie ziele vor allem auf Beschäftigte in Wissenschaft, Diplomatie und Non-Profit-Organisationen in der Ukraine, Westeuropa und den USA. Wie UNC6293 führt auch UNC7005 selektive Phishing-Angriffe mit anwendungsspezifischen Passwörtern durch. Hinzu kommen Device-Code-Phishing-Kampagnen gegen Microsoft- und WhatsApp-Konten. Bei Microsoft verschickten die Angreifer Phishing-Mails mit Einladungen zu diplomatischen Veranstaltungen und Konferenzen. Die verlinkten Seiten profilierten Besucher und forderten sie anschließend auf, ihre Teilnahme sowie Essens- und Weinwünsche zu bestätigen. Google verweist darauf, dass Wein-bezogene Köder bei Ice-Relic-Angriffen bereits seit April 2023 wiederkehren; Zscaler bezeichnete Teile der Aktivität als SPIKEDWINE.
Im Mai und Juni 2026, so Google, tarnte UNC7005 WhatsApp-Seiten, um Ziele dazu zu bringen, ihre WhatsApp-Konten mit einem von den Angreifern kontrollierten Gerät zu verknüpfen – angeblich, um an einem sicheren Anruf, Chat oder Dokumentenaustausch teilzunehmen. Nach Eingabe der Telefonnummer erzeugte die Seite eine legitime WhatsApp-Geräteverknüpfungsanfrage und zeigte dem Opfer den echten QR-Code und Verknüpfungscode samt Anleitung. War das Konto erst mit dem Angreifer-Gerät verbunden, bot die Seite zusätzlich einen Sprachanruf, einen verschlüsselten Chat oder einen Dateidownload an. Trat das Opfer dem Anruf bei, löste dies JavaScript aus, das Audio und Video aufzeichnete und an einen Command-and-Control-Endpunkt übertrug. Beim verschlüsselten Chat sollte das Opfer angezeigte Zugangsdaten kopieren und sich auf einer zweiten URL anmelden.
Rund um Mai 2026 erweiterte UNC7005 laut Google seine Vorgehensweise zudem um die Infostealer Vidar und Atomic beziehungsweise AMOS. Ziel waren US-Wissenschaftler, Diplomaten und Forscher mit Russland- oder postsowjetischem Schwerpunkt. Per E-Mail wurden sie auf eine gefälschte Gipfel-Webseite gelockt, die zu einer „Entschließung zur Unterstützung der Ukraine“ gehörte und zum Download einer Begleit-Anwendung aufforderte. Anfang August 2026 begann UNC7005 nach Angaben der GTIG außerdem mit Google-OAuth-Phishing über Cloud-Infrastruktur. Ab dem 31. Juli 2026 registrierte die Gruppe Domains, die das legitime Finnish Operations Center (FOC) imitierten. Zwischen dem 6. und 13. August 2026 gingen gezielte Phishing-Mails an Personen in der europäischen Verteidigungsindustrie oder mit Bezug dazu. Nach der legitimen Google-Anmeldung wurden die Opfer auf ein nicht verifiziertes, von den Angreifern kontrolliertes Cloud-Projekt umgeleitet, um Tokens zu stehlen und Konten zu kapern.