{"id":1704,"date":"2026-08-04T11:10:25","date_gmt":"2026-08-04T11:10:25","guid":{"rendered":"https:\/\/windowsreport.com\/no\/microsoft-avdekker-global-skadevarekampanje-mot-hotell-wi-fi\/"},"modified":"2026-08-04T11:10:25","modified_gmt":"2026-08-04T11:10:25","slug":"microsoft-avdekker-global-skadevarekampanje-mot-hotell-wi-fi","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/no\/microsoft-avdekker-global-skadevarekampanje-mot-hotell-wi-fi\/","title":{"rendered":"Microsoft avdekker global skadevarekampanje mot hotell-Wi-Fi"},"content":{"rendered":"\n

Microsoft sier at Midnight Blizzard retter seg mot hotell- og konferanse-Wi-Fi-nettverk over hele verden for \u00e5 stjele p\u00e5loggingsinformasjon og levere skadevare til reisende.<\/p>\n\n\n\n

Den russiske statsst\u00f8ttede hackergruppen, ogs\u00e5 kjent som APT29, skal drive kampanjen gjennom Storm-2945, en av dens tilknyttede undergrupper.<\/p>\n\n\n\n

Microsoft sporer aktiviteten som CaptiveCrunch<\/a> og mener kampanjen har p\u00e5g\u00e5tt siden minst mai 2026.<\/p>\n\n\n\n

Angripere kompromitterer trafikk fra fangeportaler<\/h2>\n\n\n\n

Angriperne retter seg mot hotellnettverk som bruker fangeportaler, som normalt ber gjester om \u00e5 logge p\u00e5 eller godta vilk\u00e5r f\u00f8r de f\u00e5r tilgang til internett.<\/p>\n\n\n\n

Midnight Blizzard tukler med DNS- og HTTP-trafikk for \u00e5 omdirigere tilkoblede enheter til ondsinnede nettsteder. Microsoft fant bevis p\u00e5 at angriperne kan ha kompromittert delt nettverksinfrastruktur i stedet for enkeltst\u00e5ende rutere eller tilgangspunkter.<\/p>\n\n\n\n

Selskapet har ikke fastsl\u00e5tt hvordan angriperne opprinnelig fikk tilgang til de ber\u00f8rte nettverkene.<\/p>\n\n\n\n

Hotellnettverk har v\u00e6rt utsatt for lignende trusler tidligere. Angripere har f\u00f8r kapret hotell-Wi-Fi for \u00e5 stjele Microsoft 365-kontoer, mens Microsoft nylig advarte om phishing-angrep rettet mot hoteller i Japan.<\/p>\n\n\n\n

Falske Microsoft 365-sider stjeler p\u00e5loggingsinformasjon<\/h3>\n\n\n\n

Ofre som kobler seg til kompromittert Wi-Fi kan havne p\u00e5 falske Microsoft 365-p\u00e5loggingssider som samler inn brukernavn og passord.<\/p>\n\n\n\n

Angriperne bruker ogs\u00e5 enhetskode-phishing for \u00e5 misbruke Microsoft Entra ID-autentisering. Denne metoden overtaler brukere til \u00e5 oppgi en tilsynelatende legitim enhetskode som gir angriperne tilgang til kontoene deres.<\/p>\n\n\n\n

Microsoft observerte at angriperne aktivt brukte disse omdirigeringsmetodene fra juli og fremover.<\/p>\n\n\n\n

Falske oppdateringer installerer CornFlake-skadevare<\/h3>\n\n\n\n

Noen ofre ser falske nettleser- eller Windows-oppdateringssider i stedet for vanlige phishing-skjemaer.<\/p>\n\n\n\n

Disse sidene bruker ClickFix-aktige instruksjoner som lurer brukere til \u00e5 kopiere kommandoer, starte installasjonsprogrammer eller kj\u00f8re ondsinnede filer. Microsoft fant ogs\u00e5 tegn p\u00e5 at angriperne rettet seg mot Android-enheter med ondsinnede APK-pakker.<\/p>\n\n\n\n

En av hovednyttelastene er CornFlake, en Go-basert trojaner for fjernaksess som er designet for \u00e5 opprettholde langsiktig tilgang til Windows-datamaskiner.<\/p>\n\n\n\n

CornFlake kan kj\u00f8re eksterne kommandoer, registrere tastetrykk, overv\u00e5ke utklippstavleaktivitet, ta skjermbilder, stjele filer, aktivere mikrofon og webkamera, hente ut passord og informasjonskapsler fra nettlesere, stjele Microsoft 365-\u00f8ktokener, overv\u00e5ke tilkoblede USB-enheter og samle detaljert systeminformasjon.<\/p>\n\n\n\n

Under installasjonen viser CornFlake et falskt fremdriftsvindu mens den kopierer seg selv til %AppData%-mappen. Den utgir seg for \u00e5 v\u00e6re en legitim Windows-komponent kalt Cloud Sync Service.<\/p>\n\n\n\n

CornFlake bruker flere metoder for \u00e5 forbli vedvarende<\/h3>\n\n\n\n

CornFlake kan registrere seg selv som en Windows-tjeneste for \u00e5 kj\u00f8re automatisk.<\/p>\n\n\n\n

Den kan ogs\u00e5 opprette registeroppf\u00f8ringer for oppstart, planlagte oppgaver og en overv\u00e5kningsprosess. Overv\u00e5kningsprosessen gjenoppretter andre permanensmekanismer n\u00e5r sikkerhetsteam fjerner en av dem.<\/p>\n\n\n\n

Denne tiln\u00e6rmingen gj\u00f8r det vanskeligere \u00e5 fjerne skadevaren helt fra en infisert enhet.<\/p>\n\n\n\n

ChocoShell stjeler nettleser- og Microsoft-p\u00e5loggingsopplysninger<\/h3>\n\n\n\n

Microsoft identifiserte ogs\u00e5 ChocoShell, en minnebasert PowerShell-stjeler for p\u00e5loggingsinformasjon brukt i kampanjen.<\/p>\n\n\n\n

ChocoShell retter seg mot nettleserinformasjonskapsler, lagrede nettleserpassord, Microsoft 365-tokener, Azure AD-tokener og lagret Wi-Fi-p\u00e5loggingsinformasjon.<\/p>\n\n\n\n

Fordi ChocoShell hovedsakelig kj\u00f8rer i minnet, kan den etterlate f\u00e6rre filer for tradisjonelle sikkerhetsverkt\u00f8y \u00e5 oppdage.<\/p>\n\n\n\n

Angripere administrerer ofre gjennom FruitStone<\/h3>\n\n\n\n

Microsoft oppdaget et eksponert angriperkontrollpanel kalt FruitStone.<\/p>\n\n\n\n

Panelet tillot operat\u00f8rer \u00e5 administrere infiserte systemer, bla gjennom filer, kj\u00f8re PowerShell-kommandoer, samle skjermbilder og gjennomg\u00e5 fangede tastetrykk.<\/p>\n\n\n\n

Microsoft fant ogs\u00e5 omfattende kommentarer inne i skadevarekoden. Kommentarene antyder at utviklerne kan ha brukt KI-verkt\u00f8y under opprettelse eller endring av deler av skadevaren.<\/p>\n\n\n\n

Slik kan reisende beskytte enhetene sine<\/h3>\n\n\n\n

Reisende og organisasjoner b\u00f8r behandle hotell- og konferanse-Wi-Fi som up\u00e5litelig, selv n\u00e5r nettverket ser legitimt ut.<\/p>\n\n\n\n

Microsoft anbefaler f\u00f8lgende forholdsregler:<\/p>\n\n\n\n