Microsoft deckt weltweite Malware-Kampagne über Hotel-WLANs auf

Microsoft gibt bekannt, dass Midnight Blizzard weltweit Hotel- und Konferenz-WLANs ins Visier nimmt, um Anmeldeinformationen zu stehlen und Schadsoftware an Reisende zu verteilen.

Die vom russischen Staat gesponserte Hackergruppe, auch als APT29 bekannt, führt die Kampagne Berichten zufolge über Storm-2945 durch, eine ihrer assoziierten Untergruppen.

Microsoft verfolgt die Aktivität unter dem Namen CaptiveCrunch und geht davon aus, dass die Kampagne mindestens seit Mai 2026 aktiv ist.

Angreifer kompromittieren den Datenverkehr von Captive Portals

Die Angreifer zielen auf Gastnetzwerke ab, die Captive Portals verwenden. Diese fordern Gäste normalerweise auf, sich anzumelden oder die Nutzungsbedingungen zu akzeptieren, bevor sie Zugang zum Internet erhalten.

Midnight Blizzard manipuliert den DNS- und HTTP-Datenverkehr, um verbundene Geräte auf bösartige Webseiten umzuleiten. Microsoft fand Hinweise darauf, dass die Angreifer möglicherweise die gemeinsam genutzte Netzwerkinfrastruktur und nicht einzelne Router oder Zugangspunkte kompromittiert haben.

Das Unternehmen konnte nicht ermitteln, wie die Angreifer sich ursprünglich Zugang zu den betroffenen Netzwerken verschafft haben.

Hotelnetzwerke waren bereits früher mit ähnlichen Bedrohungen konfrontiert. Angreifer haben in der Vergangenheit Hotel-WLAN gekapert, um Microsoft-365-Konten zu stehlen, während Microsoft kürzlich vor Phishing-Angriffen auf Hotels in Japan warnte.

Gefälschte Microsoft-365-Seiten stehlen Anmeldeinformationen

Opfer, die eine Verbindung zu einem kompromittierten WLAN herstellen, können auf gefälschten Microsoft-365-Anmeldeseiten landen, die Benutzernamen und Passwörter sammeln.

Die Angreifer setzen auch Gerätecode-Phishing ein, um die Microsoft-Entra-ID-Authentifizierung zu missbrauchen. Bei dieser Methode werden Benutzer dazu verleitet, einen legitim aussehenden Gerätecode einzugeben, der den Angreifern Zugriff auf ihre Konten gewährt.

Microsoft beobachtete, dass die Angreifer diese Umleitungsmethoden ab Juli aktiv einsetzen.

Gefälschte Updates installieren CornFlake-Malware

Einige Opfer sehen anstelle herkömmlicher Phishing-Formulare betrügerische Browser- oder Windows-Update-Seiten.

Diese Seiten verwenden ClickFix-artige Anweisungen, die Benutzer dazu verleiten, Befehle zu kopieren, Installationsprogramme auszuführen oder schädliche Dateien zu starten. Microsoft fand auch Anzeichen dafür, dass die Angreifer Android-Geräte mit bösartigen APK-Paketen ins Visier nahmen.

Eine der Hauptnutzlasten ist CornFlake, ein in Go geschriebener Remote-Access-Trojaner, der darauf ausgelegt ist, langfristigen Zugriff auf Windows-Computer zu erhalten.

CornFlake kann Remotebefehle ausführen, Tastatureingaben aufzeichnen, die Zwischenablage überwachen, Screenshots erstellen, Dateien stehlen, Mikrofon und Webcam aktivieren, Browser-Passwörter und Cookies extrahieren, Microsoft-365-Sitzungstoken stehlen, angeschlossene USB-Geräte überwachen und detaillierte Systeminformationen sammeln.

Während der Installation zeigt CornFlake ein gefälschtes Fortschrittsfenster an, während es sich selbst in den Ordner %AppData% kopiert. Es tarnt sich als legitime Windows-Komponente namens Cloud Sync Service.

CornFlake verwendet mehrere Persistenzmethoden

CornFlake kann sich als Windows-Dienst registrieren, um automatisch ausgeführt zu werden.

Es kann auch Registrierungsstarteinträge, geplante Aufgaben und einen Watchdog-Prozess erstellen. Der Watchdog stellt andere Persistenzmechanismen wieder her, wenn Sicherheitsteams einen davon entfernen.

Dieser Ansatz erschwert die vollständige Entfernung der Schadsoftware von einem infizierten Gerät.

ChocoShell stiehlt Browser- und Microsoft-Anmeldeinformationen

Microsoft identifizierte außerdem ChocoShell, einen arbeitsspeicherresidenten PowerShell-Diebstahl von Anmeldeinformationen, der während der Kampagne eingesetzt wurde.

ChocoShell zielt auf Browser-Cookies, gespeicherte Browser-Passwörter, Microsoft-365-Token, Azure-AD-Token und gespeicherte WLAN-Anmeldeinformationen ab.

Da ChocoShell hauptsächlich im Arbeitsspeicher ausgeführt wird, hinterlässt es möglicherweise weniger Dateien, die von herkömmlichen Sicherheitstools erkannt werden können.

Angreifer verwalten Opfer über FruitStone

Microsoft entdeckte ein exponiertes Angreifer-Kontrollfeld namens FruitStone.

Das Panel ermöglichte es den Betreibern, infizierte Systeme zu verwalten, Dateien zu durchsuchen, PowerShell-Befehle auszuführen, Screenshots zu sammeln und erfasste Tastatureingaben zu überprüfen.

Microsoft fand außerdem umfangreiche Kommentare innerhalb des Malware-Codes. Die Kommentare deuten darauf hin, dass die Entwickler möglicherweise KI-Tools beim Erstellen oder Ändern von Teilen der Malware verwendet haben.

Wie Reisende ihre Geräte schützen können

Reisende und Unternehmen sollten Hotel- und Konferenz-WLAN als nicht vertrauenswürdig behandeln, selbst wenn das Netzwerk legitim erscheint.

Microsoft empfiehlt die folgenden Vorsichtsmaßnahmen:

• Verwenden Sie nach Möglichkeit mobile Daten, einen persönlichen Hotspot oder eine verwaltete Unternehmensverbindung.
• Vermeiden Sie die Installation von Browser-Updates, Windows-Updates oder Sicherheitstools, die über Captive-Portal-Seiten angeboten werden.
• Verwenden Sie Passkeys oder andere phishing-resistente Authentifizierungsmethoden.
• Aktivieren Sie eine starke Multifaktor-Authentifizierung für wichtige Konten.
• Deaktivieren Sie die Microsoft-Entra-Gerätecode-Authentifizierung, wenn die Organisation sie nicht benötigt.
• Vermeiden Sie die Eingabe von Unternehmensanmeldeinformationen bei der Registrierung für ein Gast-WLAN.
• Kontaktieren Sie einen Administrator, wenn ein Captive Portal Benutzer auffordert, Befehle auszuführen oder Software herunterzuladen.

In anderen Sicherheitsnachrichten: Microsofts Bug-Bounty-Auszahlungen erreichten einen Rekordwert von 20 Millionen US-Dollar.