{"id":3803,"date":"2026-08-04T11:03:30","date_gmt":"2026-08-04T11:03:30","guid":{"rendered":"https:\/\/windowsreport.com\/se\/microsoft-avslojar-global-hotell-wi-fi-kampanj-med-skadlig-kod\/"},"modified":"2026-08-04T11:03:30","modified_gmt":"2026-08-04T11:03:30","slug":"microsoft-avslojar-global-hotell-wi-fi-kampanj-med-skadlig-kod","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/se\/microsoft-avslojar-global-hotell-wi-fi-kampanj-med-skadlig-kod\/","title":{"rendered":"Microsoft avsl\u00f6jar global hotell-Wi-Fi-kampanj med skadlig kod"},"content":{"rendered":"\n

Microsoft s\u00e4ger att Midnight Blizzard riktar in sig p\u00e5 hotell- och konferens-Wi-Fi-n\u00e4tverk \u00f6ver hela v\u00e4rlden f\u00f6r att stj\u00e4la inloggningsuppgifter och leverera skadlig kod till resen\u00e4rer.<\/p>\n\n\n\n

Den rysk-statsunderst\u00f6dda hackergruppen, \u00e4ven k\u00e4nd som APT29, uppges driva kampanjen genom Storm-2945, en av dess associerade undergrupper.<\/p>\n\n\n\n

Microsoft sp\u00e5rar aktiviteten som CaptiveCrunch<\/a> och tror att kampanjen har p\u00e5g\u00e5tt sedan \u00e5tminstone maj 2026.<\/p>\n\n\n\n

Angripare \u00e4ventyrar trafiken via inloggningsportaler<\/h2>\n\n\n\n

Angriparna riktar in sig p\u00e5 n\u00e4tverk inom bes\u00f6ksn\u00e4ringen som anv\u00e4nder inloggningsportaler, som normalt ber g\u00e4ster att logga in eller godk\u00e4nna villkor innan de f\u00e5r tillg\u00e5ng till internet.<\/p>\n\n\n\n

Midnight Blizzard manipulerar DNS- och HTTP-trafik f\u00f6r att omdirigera anslutna enheter till skadliga webbplatser. Microsoft fann bevis f\u00f6r att angriparna kan ha \u00e4ventyrat delad n\u00e4tverksinfrastruktur snarare \u00e4n enskilda routrar eller \u00e5tkomstpunkter.<\/p>\n\n\n\n

F\u00f6retaget har inte fastst\u00e4llt hur angriparna inledningsvis fick tillg\u00e5ng till de drabbade n\u00e4tverken.<\/p>\n\n\n\n

Hotelln\u00e4tverk har st\u00e4llts inf\u00f6r liknande hot tidigare. Angripare har tidigare kapat hotell-Wi-Fi f\u00f6r att stj\u00e4la Microsoft 365-konton, och Microsoft varnade nyligen f\u00f6r n\u00e4tfiskeattacker riktade mot hotell i Japan.<\/p>\n\n\n\n

Falska Microsoft 365-sidor stj\u00e4l inloggningsuppgifter<\/h3>\n\n\n\n

Offer som ansluter till \u00e4ventyrat Wi-Fi kan hamna p\u00e5 falska inloggningssidor f\u00f6r Microsoft 365 som samlar in anv\u00e4ndarnamn och l\u00f6senord.<\/p>\n\n\n\n

Angriparna anv\u00e4nder ocks\u00e5 enhetskodsfiske f\u00f6r att missbruka Microsoft Entra ID-autentisering. Den h\u00e4r metoden f\u00e5r anv\u00e4ndare att ange en legitimt utformad enhetskod som ger angriparna \u00e5tkomst till deras konton.<\/p>\n\n\n\n

Microsoft observerade angripare som aktivt anv\u00e4nder dessa omdirigeringsmetoder fr\u00e5n och med juli.<\/p>\n\n\n\n

Falska uppdateringar installerar CornFlake-skadlig kod<\/h3>\n\n\n\n

Vissa offer ser bedr\u00e4gliga sidor f\u00f6r webbl\u00e4sar- eller Windows-uppdateringar i st\u00e4llet f\u00f6r konventionella n\u00e4tfiskeformul\u00e4r.<\/p>\n\n\n\n

Dessa sidor anv\u00e4nder instruktioner av ClickFix-typ som \u00f6vertalar anv\u00e4ndare att kopiera kommandon, starta installationsprogram eller k\u00f6ra skadliga filer. Microsoft fann ocks\u00e5 tecken p\u00e5 att angripare riktade in sig p\u00e5 Android-enheter med skadliga APK-paket.<\/p>\n\n\n\n

En av de huvudsakliga skadliga laddningarna \u00e4r CornFlake, en fj\u00e4rrstyrd trojan skapad i Go som \u00e4r utformad f\u00f6r att uppr\u00e4tth\u00e5lla l\u00e5ngvarig \u00e5tkomst till Windows-datorer.<\/p>\n\n\n\n

CornFlake kan k\u00f6ra fj\u00e4rrkommandon, spela in tangenttryckningar, \u00f6vervaka urklipp, ta sk\u00e4rmbilder, stj\u00e4la filer, aktivera mikrofonen och webbkameran, extrahera webbl\u00e4sarl\u00f6senord och cookies, stj\u00e4la sessions-token f\u00f6r Microsoft 365, \u00f6vervaka anslutna USB-enheter och samla in detaljerad systeminformation.<\/p>\n\n\n\n

Under installationen visar CornFlake ett falskt f\u00f6rloppsf\u00f6nster samtidigt som det kopierar sig sj\u00e4lvt till mappen %AppData%. Det utger sig f\u00f6r att vara en legitim Windows-komponent kallad Cloud Sync Service.<\/p>\n\n\n\n

CornFlake anv\u00e4nder flera metoder f\u00f6r best\u00e4ndighet<\/h3>\n\n\n\n

CornFlake kan registrera sig som en Windows-tj\u00e4nst f\u00f6r att k\u00f6ras automatiskt.<\/p>\n\n\n\n

Det kan ocks\u00e5 skapa startposter i registret, schemalagda aktiviteter och en vakthundsprocess. Vakthunden \u00e5terst\u00e4ller andra best\u00e4ndighetsmekanismer om s\u00e4kerhetsteam tar bort en av dem.<\/p>\n\n\n\n

Detta tillv\u00e4gag\u00e5ngss\u00e4tt g\u00f6r den skadliga koden sv\u00e5rare att helt ta bort fr\u00e5n en infekterad enhet.<\/p>\n\n\n\n

ChocoShell stj\u00e4l webbl\u00e4sar- och Microsoft-inloggningsuppgifter<\/h3>\n\n\n\n

Microsoft identifierade ocks\u00e5 ChocoShell, en minnesbaserad PowerShell-baserad stj\u00e4lare av inloggningsuppgifter som anv\u00e4nds under kampanjen.<\/p>\n\n\n\n

ChocoShell riktar in sig p\u00e5 webbl\u00e4sarcookies, sparade webbl\u00e4sarl\u00f6senord, Microsoft 365-token, Azure AD-token och lagrade Wi-Fi-inloggningsuppgifter.<\/p>\n\n\n\n

Eftersom ChocoShell fr\u00e4mst k\u00f6rs i minnet kan det l\u00e4mna f\u00e4rre filer f\u00f6r traditionella s\u00e4kerhetsverktyg att uppt\u00e4cka.<\/p>\n\n\n\n

Angripare hanterar offer via FruitStone<\/h3>\n\n\n\n

Microsoft uppt\u00e4ckte en exponerad kontrollpanel f\u00f6r angripare kallad FruitStone.<\/p>\n\n\n\n

Panelen gjorde det m\u00f6jligt f\u00f6r operat\u00f6rer att hantera infekterade system, bl\u00e4ddra bland filer, k\u00f6ra PowerShell-kommandon, samla in sk\u00e4rmbilder och granska f\u00e5ngade tangenttryckningar.<\/p>\n\n\n\n

Microsoft fann ocks\u00e5 omfattande kommentarer inuti den skadliga koden. Kommentarerna tyder p\u00e5 att utvecklarna kan ha anv\u00e4nt AI-verktyg n\u00e4r de skapade eller modifierade delar av den skadliga koden.<\/p>\n\n\n\n

Hur resen\u00e4rer kan skydda sina enheter<\/h3>\n\n\n\n

Resen\u00e4rer och organisationer b\u00f6r behandla hotell- och konferens-Wi-Fi som op\u00e5litligt, \u00e4ven n\u00e4r n\u00e4tverket verkar legitimt.<\/p>\n\n\n\n

Microsoft rekommenderar f\u00f6ljande f\u00f6rsiktighets\u00e5tg\u00e4rder:<\/p>\n\n\n\n