{"id":4679,"date":"2026-08-04T11:02:19","date_gmt":"2026-08-04T11:02:19","guid":{"rendered":"https:\/\/windowsreport.com\/de\/microsoft-deckt-globale-hotel-wi-fi-malware-kampagne-auf\/"},"modified":"2026-08-04T11:02:19","modified_gmt":"2026-08-04T11:02:19","slug":"microsoft-deckt-globale-hotel-wi-fi-malware-kampagne-auf","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/de\/microsoft-deckt-globale-hotel-wi-fi-malware-kampagne-auf\/","title":{"rendered":"Microsoft deckt globale Hotel-Wi-Fi-Malware-Kampagne auf"},"content":{"rendered":"\n

Microsoft gibt bekannt, dass Midnight Blizzard weltweit Hotel- und Konferenz-WLANs ins Visier nimmt, um Zugangsdaten zu stehlen und Malware an Reisende zu verteilen.<\/p>\n\n\n\n

Die vom russischen Staat gesponserte Hackergruppe, auch bekannt als APT29, f\u00fchrt die Kampagne Berichten zufolge \u00fcber Storm-2945 durch, eine ihrer assoziierten Untergruppen.<\/p>\n\n\n\n

Microsoft verfolgt die Aktivit\u00e4t unter dem Namen CaptiveCrunch<\/a> und geht davon aus, dass die Kampagne mindestens seit Mai 2026 aktiv ist.<\/p>\n\n\n\n

Angreifer kompromittieren den Datenverkehr von Captive Portalen<\/h2>\n\n\n\n

Die Angreifer zielen auf Gastnetzwerke ab, die Captive Portale verwenden, welche G\u00e4ste normalerweise auffordern, sich anzumelden oder die Nutzungsbedingungen zu akzeptieren, bevor sie auf das Internet zugreifen k\u00f6nnen.<\/p>\n\n\n\n

Midnight Blizzard manipuliert DNS- und HTTP-Datenverkehr, um verbundene Ger\u00e4te auf b\u00f6sartige Websites umzuleiten. Microsoft fand Hinweise darauf, dass die Angreifer m\u00f6glicherweise gemeinsam genutzte Netzwerkinfrastruktur kompromittiert haben und nicht einzelne Router oder Zugangspunkte.<\/p>\n\n\n\n

Das Unternehmen hat noch nicht ermittelt, wie die Angreifer den urspr\u00fcnglichen Zugriff auf die betroffenen Netzwerke erlangt haben.<\/p>\n\n\n\n

Hotelnetzwerke waren bereits zuvor \u00e4hnlichen Bedrohungen ausgesetzt. Angreifer kaperten bereits Hotel-WLANs, um Microsoft-365-Konten zu stehlen, w\u00e4hrend Microsoft k\u00fcrzlich vor Phishing-Angriffen auf Hotels in Japan warnte.<\/p>\n\n\n\n

Gef\u00e4lschte Microsoft-365-Seiten stehlen Zugangsdaten<\/h3>\n\n\n\n

Opfer, die sich mit einem kompromittierten WLAN verbinden, k\u00f6nnen auf gef\u00e4lschten Microsoft-365-Anmeldeseiten landen, die Benutzernamen und Passw\u00f6rter sammeln.<\/p>\n\n\n\n

Die Angreifer nutzen auch Device-Code-Phishing, um die Microsoft-Entra-ID-Authentifizierung zu missbrauchen. Diese Methode bringt Benutzer dazu, einen legitim aussehenden Ger\u00e4tecode einzugeben, der den Angreifern Zugriff auf ihre Konten gew\u00e4hrt.<\/p>\n\n\n\n

Microsoft beobachtete, dass die Angreifer diese Umleitungsmethoden ab Juli aktiv einsetzten.<\/p>\n\n\n\n

Gef\u00e4lschte Updates installieren CornFlake-Malware<\/h3>\n\n\n\n

Einige Opfer sehen anstelle herk\u00f6mmlicher Phishing-Formulare gef\u00e4lschte Browser- oder Windows-Update-Seiten.<\/p>\n\n\n\n

Diese Seiten verwenden ClickFix-artige Anweisungen, die Benutzer dazu verleiten, Befehle zu kopieren, Installationsprogramme auszuf\u00fchren oder b\u00f6sartige Dateien zu starten. Microsoft fand auch Hinweise darauf, dass die Angreifer Android-Ger\u00e4te mit b\u00f6sartigen APK-Paketen ins Visier nahmen.<\/p>\n\n\n\n

Eine der Hauptnutzlasten ist CornFlake, ein in Go geschriebener Remote-Access-Trojaner, der darauf ausgelegt ist, langfristigen Zugriff auf Windows-Computer zu behalten.<\/p>\n\n\n\n

CornFlake kann Remotebefehle ausf\u00fchren, Tastatureingaben aufzeichnen, die Zwischenablage \u00fcberwachen, Screenshots erstellen, Dateien stehlen, Mikrofon und Webcam aktivieren, Browser-Passw\u00f6rter und -Cookies extrahieren, Microsoft-365-Sitzungstokens stehlen, angeschlossene USB-Ger\u00e4te \u00fcberwachen und detaillierte Systeminformationen sammeln.<\/p>\n\n\n\n

W\u00e4hrend der Installation zeigt CornFlake ein gef\u00e4lschtes Fortschrittsfenster an, w\u00e4hrend es sich selbst in den %AppData%-Ordner kopiert. Es tarnt sich als legitime Windows-Komponente namens Cloud Sync Service.<\/p>\n\n\n\n

CornFlake verwendet mehrere Persistenzmethoden<\/h3>\n\n\n\n

CornFlake kann sich als Windows-Dienst registrieren, um automatisch ausgef\u00fchrt zu werden.<\/p>\n\n\n\n

Es kann auch Registry-Startup-Eintr\u00e4ge, Aufgabenplanungsaufgaben und einen Watchdog-Prozess erstellen. Der Watchdog stellt andere Persistenzmechanismen wieder her, wenn Sicherheitsteams einen davon entfernen.<\/p>\n\n\n\n

Dieser Ansatz erschwert die vollst\u00e4ndige Entfernung der Malware von einem infizierten Ger\u00e4t.<\/p>\n\n\n\n

ChocoShell stiehlt Browser- und Microsoft-Zugangsdaten<\/h3>\n\n\n\n

Microsoft identifizierte auch ChocoShell, einen im Speicher ausgef\u00fchrten PowerShell-Credential-Stealer, der w\u00e4hrend der Kampagne verwendet wurde.<\/p>\n\n\n\n

ChocoShell zielt auf Browser-Cookies, gespeicherte Browser-Passw\u00f6rter, Microsoft-365-Tokens, Azure-AD-Tokens und gespeicherte WLAN-Zugangsdaten ab.<\/p>\n\n\n\n

Da ChocoShell haupts\u00e4chlich im Speicher l\u00e4uft, hinterl\u00e4sst es m\u00f6glicherweise weniger Dateien, die von herk\u00f6mmlichen Sicherheitstools erkannt werden k\u00f6nnen.<\/p>\n\n\n\n

Angreifer verwalten Opfer \u00fcber FruitStone<\/h3>\n\n\n\n

Microsoft entdeckte ein ungesch\u00fctztes Angreifer-Kontrollpanel namens FruitStone.<\/p>\n\n\n\n

Das Panel erm\u00f6glichte es den Betreibern, infizierte Systeme zu verwalten, Dateien zu durchsuchen, PowerShell-Befehle auszuf\u00fchren, Screenshots zu sammeln und aufgezeichnete Tastatureingaben zu \u00fcberpr\u00fcfen.<\/p>\n\n\n\n

Microsoft fand auch umfangreiche Kommentare im Malware-Code. Die Kommentare deuten darauf hin, dass die Entwickler m\u00f6glicherweise KI-Tools bei der Erstellung oder \u00c4nderung von Teilen der Malware verwendet haben.<\/p>\n\n\n\n

Wie Reisende ihre Ger\u00e4te sch\u00fctzen k\u00f6nnen<\/h3>\n\n\n\n

Reisende und Organisationen sollten Hotel- und Konferenz-WLANs als nicht vertrauensw\u00fcrdig behandeln, selbst wenn das Netzwerk legitim erscheint.<\/p>\n\n\n\n

Microsoft empfiehlt die folgenden Vorsichtsma\u00dfnahmen:<\/p>\n\n\n\n