Microsoft deckt weltweite Hotel-Wi-Fi-Malware-Kampagne auf

Microsoft warnt, dass Midnight Blizzard weltweit Hotel- und Konferenz-WLAN-Netzwerke ins Visier nimmt, um Anmeldedaten zu stehlen und Schadsoftware an Reisende auszuliefern.

Die dem russischen Staat zugerechnete Hackergruppe, auch als APT29 bekannt, führt die Kampagne Berichten zufolge über Storm-2945 durch, eine ihrer zugehörigen Untergruppen.

Microsoft verfolgt die Aktivität als CaptiveCrunch und geht davon aus, dass die Kampagne mindestens seit Mai 2026 läuft.

Angreifer kompromittieren Captive-Portal-Verkehr

Die Angreifer zielen auf Gastnetzwerke ab, die Captive Portals nutzen – jene Seiten, über die Gäste sich normalerweise anmelden oder Nutzungsbedingungen akzeptieren müssen, bevor sie ins Internet gelangen.

Midnight Blizzard manipuliert DNS- und HTTP-Verkehr, um verbundene Geräte auf bösartige Webseiten umzuleiten. Microsoft hat Hinweise darauf gefunden, dass die Angreifer möglicherweise die gemeinsame Netzwerkinfrastruktur kompromittiert haben und nicht einzelne Router oder Access Points.

Das Unternehmen hat noch nicht festgestellt, wie die Angreifer ursprünglich Zugriff auf die betroffenen Netzwerke erlangt haben.

Hotelnetzwerke waren bereits früher ähnlichen Bedrohungen ausgesetzt. Angreifer haben in der Vergangenheit Hotel-WLANs gekapert, um Microsoft-365-Konten zu stehlen, und Microsoft warnte kürzlich vor Phishing-Angriffen auf Hotels in Japan.

Gefälschte Microsoft-365-Seiten stehlen Anmeldedaten

Opfer, die sich mit einem kompromittierten WLAN verbinden, können auf gefälschte Microsoft-365-Anmeldeseiten gelangen, die Benutzernamen und Passwörter abgreifen.

Die Angreifer nutzen zudem Gerätecode-Phishing, um die Authentifizierung von Microsoft Entra ID zu missbrauchen. Bei dieser Methode werden Nutzer dazu gebracht, einen legitim aussehenden Gerätecode einzugeben, der den Angreifern Zugriff auf deren Konten gewährt.

Microsoft beobachtete, dass die Angreifer diese Umleitungsmethoden ab Juli aktiv einsetzen.

Gefälschte Updates installieren CornFlake-Schadsoftware

Einige Opfer sehen statt herkömmlicher Phishing-Formulare gefälschte Browser- oder Windows-Update-Seiten.

Diese Seiten nutzen ClickFix-ähnliche Anleitungen, die Nutzer dazu verleiten, Befehle zu kopieren, Installationsprogramme zu starten oder schädliche Dateien auszuführen. Microsoft fand auch Hinweise darauf, dass die Angreifer Android-Geräte mit bösartigen APK-Paketen ins Visier nahmen.

Eine der Hauptnutzlasten ist CornFlake, ein in Go geschriebener Remote-Access-Trojaner, der darauf ausgelegt ist, langfristigen Zugriff auf Windows-Computer zu erhalten.

CornFlake kann Remote-Befehle ausführen, Tastenanschläge aufzeichnen, die Zwischenablage überwachen, Screenshots erstellen, Dateien stehlen, Mikrofon und Webcam aktivieren, Browser-Passwörter und -Cookies extrahieren, Microsoft-365-Sitzungstoken stehlen, verbundene USB-Geräte überwachen und detaillierte Systeminformationen sammeln.

Während der Installation zeigt CornFlake ein gefälschtes Fortschrittsfenster an, während es sich in den Ordner %AppData% kopiert. Es tarnt sich als legitime Windows-Komponente namens Cloud Sync Service.

CornFlake verwendet mehrere Persistenzmethoden

CornFlake kann sich als Windows-Dienst registrieren, um automatisch ausgeführt zu werden.

Es kann außerdem Autostart-Einträge in der Registrierung, geplante Aufgaben und einen Watchdog-Prozess anlegen. Der Watchdog stellt andere Persistenzmechanismen wieder her, falls Sicherheitsteams einen davon entfernen.

Dieses Vorgehen erschwert es, die Schadsoftware vollständig von einem infizierten Gerät zu entfernen.

ChocoShell stiehlt Browser- und Microsoft-Anmeldedaten

Microsoft identifizierte außerdem ChocoShell, einen arbeitsspeicherresidenten PowerShell-Anmeldedaten-Stealer, der während der Kampagne eingesetzt wurde.

ChocoShell zielt auf Browser-Cookies, gespeicherte Browser-Passwörter, Microsoft-365-Token, Azure-AD-Token und gespeicherte WLAN-Anmeldedaten ab.

Da ChocoShell hauptsächlich im Arbeitsspeicher läuft, hinterlässt es möglicherweise weniger Dateien, die von herkömmlichen Sicherheitstools erkannt werden können.

Angreifer verwalten Opfer über FruitStone

Microsoft entdeckte ein offenliegendes Angreifer-Steuerungspanel namens FruitStone.

Das Panel ermöglichte es den Betreibern, infizierte Systeme zu verwalten, Dateien zu durchsuchen, PowerShell-Befehle auszuführen, Screenshots zu sammeln und aufgezeichnete Tastenanschläge einzusehen.

Microsoft fand außerdem umfangreiche Kommentare im Schadcode. Die Kommentare deuten darauf hin, dass die Entwickler möglicherweise KI-Tools beim Erstellen oder Ändern von Teilen der Schadsoftware verwendet haben.

Wie Reisende ihre Geräte schützen können

Reisende und Organisationen sollten Hotel- und Konferenz-WLAN als nicht vertrauenswürdig betrachten, selbst wenn das Netzwerk legitim erscheint.

Microsoft empfiehlt folgende Vorsichtsmaßnahmen:

• Nutzen Sie nach Möglichkeit mobile Daten, einen persönlichen Hotspot oder eine verwaltete Unternehmensverbindung.
• Vermeiden Sie die Installation von Browser-Updates, Windows-Updates oder Sicherheitstools, die über Captive-Portal-Seiten angeboten werden.
• Verwenden Sie Passkeys oder andere phishing-resistente Authentifizierungsmethoden.
• Aktivieren Sie eine starke Multifaktor-Authentifizierung für wichtige Konten.
• Deaktivieren Sie die Gerätecode-Authentifizierung von Microsoft Entra, wenn die Organisation sie nicht benötigt.
• Geben Sie bei der Registrierung für ein Gast-WLAN keine Unternehmensanmeldedaten ein.
• Kontaktieren Sie einen Administrator, wenn ein Captive Portal Sie dazu auffordert, Befehle auszuführen oder Software herunterzuladen.

In anderen Sicherheitsnachrichten erreichten die Bug-Bounty-Auszahlungen von Microsoft einen Rekordwert von 20 Millionen US-Dollar.