{"id":3801,"date":"2026-08-04T11:02:48","date_gmt":"2026-08-04T11:02:48","guid":{"rendered":"https:\/\/windowsreport.com\/se\/microsoft-avslojar-global-hotell-wi-fi-malwarekampanj\/"},"modified":"2026-08-04T11:02:48","modified_gmt":"2026-08-04T11:02:48","slug":"microsoft-avslojar-global-hotell-wi-fi-malwarekampanj","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/se\/microsoft-avslojar-global-hotell-wi-fi-malwarekampanj\/","title":{"rendered":"Microsoft avsl\u00f6jar global hotell-Wi-Fi-malwarekampanj"},"content":{"rendered":"\n

Microsoft uppger att Midnight Blizzard riktar in sig p\u00e5 hotell- och konferens-Wi-Fi-n\u00e4tverk \u00f6ver hela v\u00e4rlden f\u00f6r att stj\u00e4la inloggningsuppgifter och leverera skadeprogram till resen\u00e4rer.<\/p>\n\n\n\n

Den ryskstatsst\u00f6dda hackergruppen, \u00e4ven k\u00e4nd som APT29, bedriver enligt uppgift kampanjen genom Storm-2945, en av dess associerade undergrupper.<\/p>\n\n\n\n

Microsoft sp\u00e5rar aktiviteten under namnet CaptiveCrunch<\/a> och tror att kampanjen har p\u00e5g\u00e5tt sedan minst maj 2026.<\/p>\n\n\n\n

Angripare manipulerar captive-portaltrafik<\/h2>\n\n\n\n

Angriparna riktar in sig p\u00e5 hotelln\u00e4tverk som anv\u00e4nder captive portals, vilka normalt ber g\u00e4ster att logga in eller acceptera villkor innan de f\u00e5r tillg\u00e5ng till internet.<\/p>\n\n\n\n

Midnight Blizzard manipulerar DNS- och HTTP-trafik f\u00f6r att omdirigera anslutna enheter till skadliga webbplatser. Microsoft fann bevis f\u00f6r att angriparna kan ha \u00e4ventyrat delad n\u00e4tverksinfrastruktur snarare \u00e4n enskilda routrar eller accesspunkter.<\/p>\n\n\n\n

F\u00f6retaget har inte fastst\u00e4llt hur angriparna ursprungligen fick tillg\u00e5ng till de drabbade n\u00e4tverken.<\/p>\n\n\n\n

Hotelln\u00e4tverk har utsatts f\u00f6r liknande hot tidigare. Angripare har tidigare kapat hotellens Wi-Fi f\u00f6r att stj\u00e4la Microsoft 365-konton, och Microsoft varnade nyligen f\u00f6r n\u00e4tfiskeattacker riktade mot hotell i Japan.<\/p>\n\n\n\n

Falska Microsoft 365-sidor stj\u00e4l inloggningsuppgifter<\/h3>\n\n\n\n

Offer som ansluter till det kapade Wi-Fi-n\u00e4tverket kan hamna p\u00e5 falska Microsoft 365-inloggningssidor som samlar in anv\u00e4ndarnamn och l\u00f6senord.<\/p>\n\n\n\n

Angriparna anv\u00e4nder ocks\u00e5 enhetskods-phishing f\u00f6r att missbruka Microsoft Entra ID-autentisering. Metoden f\u00e5r anv\u00e4ndare att ange en till synes legitim enhetskod som ger angriparna \u00e5tkomst till deras konton.<\/p>\n\n\n\n

Microsoft observerade att angriparna aktivt anv\u00e4nde dessa omdirigeringsmetoder fr\u00e5n och med juli.<\/p>\n\n\n\n

Falska uppdateringar installerar skadeprogrammet CornFlake<\/h3>\n\n\n\n

Vissa offer ser falska webbl\u00e4sar- eller Windows-uppdateringssidor ist\u00e4llet f\u00f6r vanliga n\u00e4tfiskeformul\u00e4r.<\/p>\n\n\n\n

Dessa sidor anv\u00e4nder ClickFix-liknande instruktioner som \u00f6vertalar anv\u00e4ndare att kopiera kommandon, starta installationsprogram eller k\u00f6ra skadliga filer. Microsoft fann ocks\u00e5 tecken p\u00e5 att angriparna riktade in sig p\u00e5 Android-enheter med skadliga APK-paket.<\/p>\n\n\n\n

En av de huvudsakliga nyttolasterna \u00e4r CornFlake, en Go-baserad fj\u00e4rr\u00e5tkomsttrojan utformad f\u00f6r att uppr\u00e4tth\u00e5lla l\u00e5ngvarig \u00e5tkomst till Windows-datorer.<\/p>\n\n\n\n

CornFlake kan k\u00f6ra fj\u00e4rrkommandon, spela in tangenttryckningar, \u00f6vervaka urklippsaktivitet, ta sk\u00e4rmdumpar, stj\u00e4la filer, aktivera mikrofonen och webbkameran, extrahera webbl\u00e4sarl\u00f6senord och cookies, stj\u00e4la sessionsnycklar f\u00f6r Microsoft 365, \u00f6vervaka anslutna USB-enheter och samla in detaljerad systeminformation.<\/p>\n\n\n\n

Under installationen visar CornFlake ett falskt f\u00f6rloppsf\u00f6nster samtidigt som det kopierar sig sj\u00e4lv till mappen %AppData%. Det utger sig f\u00f6r att vara en legitim Windows-komponent med namnet Cloud Sync Service.<\/p>\n\n\n\n

CornFlake anv\u00e4nder flera metoder f\u00f6r best\u00e4ndighet<\/h3>\n\n\n\n

CornFlake kan registrera sig som en Windows-tj\u00e4nst f\u00f6r att k\u00f6ras automatiskt.<\/p>\n\n\n\n

Det kan ocks\u00e5 skapa startobjekt i registret, schemalagda aktiviteter och en \u00f6vervakningsprocess. \u00d6vervakningsprocessen \u00e5terst\u00e4ller andra best\u00e4ndighetsmekanismer om s\u00e4kerhetsteam tar bort en av dem.<\/p>\n\n\n\n

Detta tillv\u00e4gag\u00e5ngss\u00e4tt g\u00f6r skadeprogrammet sv\u00e5rare att avl\u00e4gsna helt fr\u00e5n en infekterad enhet.<\/p>\n\n\n\n

ChocoShell stj\u00e4l webbl\u00e4sar- och Microsoft-inloggningsuppgifter<\/h3>\n\n\n\n

Microsoft identifierade ocks\u00e5 ChocoShell, en minnesbaserad PowerShell-stj\u00e4lare av inloggningsuppgifter som anv\u00e4ndes under kampanjen.<\/p>\n\n\n\n

ChocoShell riktar in sig p\u00e5 webbl\u00e4sarcookies, sparade webbl\u00e4sarl\u00f6senord, Microsoft 365-tokens, Azure AD-tokens och sparade Wi-Fi-uppgifter.<\/p>\n\n\n\n

Eftersom ChocoShell fr\u00e4mst k\u00f6rs i minnet kan det l\u00e4mna f\u00e4rre filer f\u00f6r traditionella s\u00e4kerhetsverktyg att uppt\u00e4cka.<\/p>\n\n\n\n

Angriparna hanterar offer via FruitStone<\/h3>\n\n\n\n

Microsoft uppt\u00e4ckte en exponerad kontrollpanel f\u00f6r angripare kallad FruitStone.<\/p>\n\n\n\n

Panelen gjorde det m\u00f6jligt f\u00f6r operat\u00f6rerna att hantera infekterade system, bl\u00e4ddra bland filer, k\u00f6ra PowerShell-kommandon, samla in sk\u00e4rmdumpar och granska f\u00e5ngade tangenttryckningar.<\/p>\n\n\n\n

Microsoft hittade ocks\u00e5 omfattande kommentarer inuti skadeprogrammets kod. Kommentarerna tyder p\u00e5 att utvecklarna kan ha anv\u00e4nt AI-verktyg n\u00e4r de skapade eller modifierade delar av skadeprogrammet.<\/p>\n\n\n\n

S\u00e5 kan resen\u00e4rer skydda sina enheter<\/h3>\n\n\n\n

Resen\u00e4rer och organisationer b\u00f6r behandla hotell- och konferens-Wi-Fi som op\u00e5litligt, \u00e4ven n\u00e4r n\u00e4tverket verkar legitimt.<\/p>\n\n\n\n

Microsoft rekommenderar f\u00f6ljande f\u00f6rsiktighets\u00e5tg\u00e4rder:<\/p>\n\n\n\n