Microsoft deckt globale Hotel-Wi-Fi-Malware-Kampagne auf

Microsoft gibt bekannt, dass Midnight Blizzard weltweit Hotel- und Konferenz-WLANs ins Visier nimmt, um Zugangsdaten zu stehlen und Malware an Reisende zu verteilen.

Die vom russischen Staat gesponserte Hackergruppe, auch bekannt als APT29, führt die Kampagne Berichten zufolge über Storm-2945 durch, eine ihrer assoziierten Untergruppen.

Microsoft verfolgt die Aktivität unter dem Namen CaptiveCrunch und geht davon aus, dass die Kampagne mindestens seit Mai 2026 aktiv ist.

Angreifer kompromittieren den Datenverkehr von Captive Portalen

Die Angreifer zielen auf Gastnetzwerke ab, die Captive Portale verwenden, welche Gäste normalerweise auffordern, sich anzumelden oder die Nutzungsbedingungen zu akzeptieren, bevor sie auf das Internet zugreifen können.

Midnight Blizzard manipuliert DNS- und HTTP-Datenverkehr, um verbundene Geräte auf bösartige Websites umzuleiten. Microsoft fand Hinweise darauf, dass die Angreifer möglicherweise gemeinsam genutzte Netzwerkinfrastruktur kompromittiert haben und nicht einzelne Router oder Zugangspunkte.

Das Unternehmen hat noch nicht ermittelt, wie die Angreifer den ursprünglichen Zugriff auf die betroffenen Netzwerke erlangt haben.

Hotelnetzwerke waren bereits zuvor ähnlichen Bedrohungen ausgesetzt. Angreifer kaperten bereits Hotel-WLANs, um Microsoft-365-Konten zu stehlen, während Microsoft kürzlich vor Phishing-Angriffen auf Hotels in Japan warnte.

Gefälschte Microsoft-365-Seiten stehlen Zugangsdaten

Opfer, die sich mit einem kompromittierten WLAN verbinden, können auf gefälschten Microsoft-365-Anmeldeseiten landen, die Benutzernamen und Passwörter sammeln.

Die Angreifer nutzen auch Device-Code-Phishing, um die Microsoft-Entra-ID-Authentifizierung zu missbrauchen. Diese Methode bringt Benutzer dazu, einen legitim aussehenden Gerätecode einzugeben, der den Angreifern Zugriff auf ihre Konten gewährt.

Microsoft beobachtete, dass die Angreifer diese Umleitungsmethoden ab Juli aktiv einsetzten.

Gefälschte Updates installieren CornFlake-Malware

Einige Opfer sehen anstelle herkömmlicher Phishing-Formulare gefälschte Browser- oder Windows-Update-Seiten.

Diese Seiten verwenden ClickFix-artige Anweisungen, die Benutzer dazu verleiten, Befehle zu kopieren, Installationsprogramme auszuführen oder bösartige Dateien zu starten. Microsoft fand auch Hinweise darauf, dass die Angreifer Android-Geräte mit bösartigen APK-Paketen ins Visier nahmen.

Eine der Hauptnutzlasten ist CornFlake, ein in Go geschriebener Remote-Access-Trojaner, der darauf ausgelegt ist, langfristigen Zugriff auf Windows-Computer zu behalten.

CornFlake kann Remotebefehle ausführen, Tastatureingaben aufzeichnen, die Zwischenablage überwachen, Screenshots erstellen, Dateien stehlen, Mikrofon und Webcam aktivieren, Browser-Passwörter und -Cookies extrahieren, Microsoft-365-Sitzungstokens stehlen, angeschlossene USB-Geräte überwachen und detaillierte Systeminformationen sammeln.

Während der Installation zeigt CornFlake ein gefälschtes Fortschrittsfenster an, während es sich selbst in den %AppData%-Ordner kopiert. Es tarnt sich als legitime Windows-Komponente namens Cloud Sync Service.

CornFlake verwendet mehrere Persistenzmethoden

CornFlake kann sich als Windows-Dienst registrieren, um automatisch ausgeführt zu werden.

Es kann auch Registry-Startup-Einträge, Aufgabenplanungsaufgaben und einen Watchdog-Prozess erstellen. Der Watchdog stellt andere Persistenzmechanismen wieder her, wenn Sicherheitsteams einen davon entfernen.

Dieser Ansatz erschwert die vollständige Entfernung der Malware von einem infizierten Gerät.

ChocoShell stiehlt Browser- und Microsoft-Zugangsdaten

Microsoft identifizierte auch ChocoShell, einen im Speicher ausgeführten PowerShell-Credential-Stealer, der während der Kampagne verwendet wurde.

ChocoShell zielt auf Browser-Cookies, gespeicherte Browser-Passwörter, Microsoft-365-Tokens, Azure-AD-Tokens und gespeicherte WLAN-Zugangsdaten ab.

Da ChocoShell hauptsächlich im Speicher läuft, hinterlässt es möglicherweise weniger Dateien, die von herkömmlichen Sicherheitstools erkannt werden können.

Angreifer verwalten Opfer über FruitStone

Microsoft entdeckte ein ungeschütztes Angreifer-Kontrollpanel namens FruitStone.

Das Panel ermöglichte es den Betreibern, infizierte Systeme zu verwalten, Dateien zu durchsuchen, PowerShell-Befehle auszuführen, Screenshots zu sammeln und aufgezeichnete Tastatureingaben zu überprüfen.

Microsoft fand auch umfangreiche Kommentare im Malware-Code. Die Kommentare deuten darauf hin, dass die Entwickler möglicherweise KI-Tools bei der Erstellung oder Änderung von Teilen der Malware verwendet haben.

Wie Reisende ihre Geräte schützen können

Reisende und Organisationen sollten Hotel- und Konferenz-WLANs als nicht vertrauenswürdig behandeln, selbst wenn das Netzwerk legitim erscheint.

Microsoft empfiehlt die folgenden Vorsichtsmaßnahmen:

• Nutzen Sie, wenn möglich, mobile Daten, einen persönlichen Hotspot oder eine verwaltete Unternehmensverbindung.
• Vermeiden Sie die Installation von Browser-Updates, Windows-Updates oder Sicherheitstools, die über Captive-Portal-Seiten angeboten werden.
• Verwenden Sie Passkeys oder andere phishing-resistente Authentifizierungsmethoden.
• Aktivieren Sie eine starke Multi-Faktor-Authentifizierung für wichtige Konten.
• Deaktivieren Sie die Microsoft-Entra-Gerätecode-Authentifizierung, wenn Ihre Organisation sie nicht benötigt.
• Vermeiden Sie die Eingabe von Unternehmenszugangsdaten bei der Anmeldung für Gast-WLANs.
• Kontaktieren Sie einen Administrator, wenn ein Captive Portal Benutzer auffordert, Befehle auszuführen oder Software herunterzuladen.

In anderen Sicherheitsnachrichten: Microsofts Bug-Bounty-Auszahlungen erreichten einen Rekordwert von 20 Millionen US-Dollar.