{"id":3807,"date":"2026-08-04T11:11:55","date_gmt":"2026-08-04T11:11:55","guid":{"rendered":"https:\/\/windowsreport.com\/se\/microsoft-avslojar-global-skadeprogramskampanj-mot-hotell-wi-fi\/"},"modified":"2026-08-04T11:11:55","modified_gmt":"2026-08-04T11:11:55","slug":"microsoft-avslojar-global-skadeprogramskampanj-mot-hotell-wi-fi","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/se\/microsoft-avslojar-global-skadeprogramskampanj-mot-hotell-wi-fi\/","title":{"rendered":"Microsoft avsl\u00f6jar global skadeprogramskampanj mot hotell-Wi-Fi"},"content":{"rendered":"\n

Microsoft uppger att Midnight Blizzard riktar in sig p\u00e5 hotell- och konferens-Wi-Fi-n\u00e4tverk \u00f6ver hela v\u00e4rlden f\u00f6r att stj\u00e4la inloggningsuppgifter och leverera skadlig kod till resen\u00e4rer.<\/p>\n\n\n\n

Den ryskstatsunderst\u00f6dda hackergruppen, \u00e4ven k\u00e4nd som APT29, driver enligt uppgift kampanjen genom Storm-2945, en av dess associerade undergrupper.<\/p>\n\n\n\n

Microsoft sp\u00e5rar aktiviteten som CaptiveCrunch<\/a> och tror att kampanjen har p\u00e5g\u00e5tt \u00e5tminstone sedan maj 2026.<\/p>\n\n\n\n

Angripare \u00e4ventyrar trafik via captive-portaler<\/h2>\n\n\n\n

Angriparna riktar in sig p\u00e5 n\u00e4tverk inom bes\u00f6ksn\u00e4ringen som anv\u00e4nder captive-portaler, vilka normalt ber g\u00e4ster att logga in eller godk\u00e4nna villkor innan de f\u00e5r tillg\u00e5ng till internet.<\/p>\n\n\n\n

Midnight Blizzard manipulerar DNS- och HTTP-trafik f\u00f6r att omdirigera anslutna enheter till skadliga webbplatser. Microsoft har funnit bevis f\u00f6r att angriparna kan ha \u00e4ventyrat delad n\u00e4tverksinfrastruktur snarare \u00e4n enskilda routrar eller \u00e5tkomstpunkter.<\/p>\n\n\n\n

F\u00f6retaget har inte fastst\u00e4llt hur angriparna ursprungligen fick tillg\u00e5ng till de drabbade n\u00e4tverken.<\/p>\n\n\n\n

Hotelln\u00e4tverk har utsatts f\u00f6r liknande hot tidigare. Angripare har tidigare kapat hotell-Wi-Fi f\u00f6r att stj\u00e4la Microsoft 365-konton, och Microsoft varnade nyligen f\u00f6r n\u00e4tfiskeattacker riktade mot hotell i Japan.<\/p>\n\n\n\n

Falska Microsoft 365-sidor stj\u00e4l inloggningsuppgifter<\/h3>\n\n\n\n

Offer som ansluter till komprometterat Wi-Fi kan hamna p\u00e5 falska inloggningssidor f\u00f6r Microsoft 365 som samlar in anv\u00e4ndarnamn och l\u00f6senord.<\/p>\n\n\n\n

Angriparna anv\u00e4nder ocks\u00e5 enhetskods-phishing f\u00f6r att missbruka Microsoft Entra ID-autentisering. Denna metod f\u00e5r anv\u00e4ndare att ange en legitimt utseende enhetskod som ger angriparna tillg\u00e5ng till deras konton.<\/p>\n\n\n\n

Microsoft observerade att angriparna aktivt anv\u00e4nde dessa omdirigeringsmetoder fr\u00e5n och med juli.<\/p>\n\n\n\n

Falska uppdateringar installerar skadlig kod av typen CornFlake<\/h3>\n\n\n\n

Vissa offer ser bedr\u00e4gliga webbl\u00e4sar- eller Windows-uppdateringssidor ist\u00e4llet f\u00f6r konventionella n\u00e4tfiskeformul\u00e4r.<\/p>\n\n\n\n

Dessa sidor anv\u00e4nder instruktioner i ClickFix-stil som \u00f6vertalar anv\u00e4ndare att kopiera kommandon, starta installationsprogram eller k\u00f6ra skadliga filer. Microsoft fann ocks\u00e5 tecken p\u00e5 att angriparna riktade in sig p\u00e5 Android-enheter med skadliga APK-paket.<\/p>\n\n\n\n

En av de huvudsakliga nyttolasterna \u00e4r CornFlake, en Go-baserad fj\u00e4rr\u00e5tkomsttrojan utformad f\u00f6r att uppr\u00e4tth\u00e5lla l\u00e5ngvarig \u00e5tkomst till Windows-datorer.<\/p>\n\n\n\n

CornFlake kan k\u00f6ra fj\u00e4rrkommandon, spela in tangenttryckningar, \u00f6vervaka urklippsaktivitet, ta sk\u00e4rmdumpar, stj\u00e4la filer, aktivera mikrofonen och webbkameran, extrahera webbl\u00e4sarl\u00f6senord och cookies, stj\u00e4la sessionstoken f\u00f6r Microsoft 365, \u00f6vervaka anslutna USB-enheter och samla in detaljerad systeminformation.<\/p>\n\n\n\n

Under installationen visar CornFlake ett falskt f\u00f6rloppsf\u00f6nster medan det kopierar sig sj\u00e4lvt till mappen %AppData%. Det maskerar sig som en legitim Windows-komponent kallad Cloud Sync Service.<\/p>\n\n\n\n

CornFlake anv\u00e4nder flera metoder f\u00f6r best\u00e4ndighet<\/h3>\n\n\n\n

CornFlake kan registrera sig sj\u00e4lv som en Windows-tj\u00e4nst f\u00f6r att k\u00f6ras automatiskt.<\/p>\n\n\n\n

Det kan ocks\u00e5 skapa startposter i registret, schemalagda aktiviteter och en watchdog-process. Watchdogen \u00e5terst\u00e4ller andra best\u00e4ndighetsmekanismer n\u00e4r s\u00e4kerhetsteam tar bort en av dem.<\/p>\n\n\n\n

Detta tillv\u00e4gag\u00e5ngss\u00e4tt g\u00f6r det sv\u00e5rare att helt ta bort skadlig kod fr\u00e5n en infekterad enhet.<\/p>\n\n\n\n

ChocoShell stj\u00e4l webbl\u00e4sar- och Microsoft-uppgifter<\/h3>\n\n\n\n

Microsoft identifierade ocks\u00e5 ChocoShell, en PowerShell-baserad st\u00f6ldare av inloggningsuppgifter som k\u00f6rs i minnet och anv\u00e4ndes under kampanjen.<\/p>\n\n\n\n

ChocoShell riktar in sig p\u00e5 webbl\u00e4sarcookies, sparade webbl\u00e4sarl\u00f6senord, Microsoft 365-tokens, Azure AD-tokens och lagrade Wi-Fi-uppgifter.<\/p>\n\n\n\n

Eftersom ChocoShell huvudsakligen k\u00f6rs i minnet kan det l\u00e4mna f\u00e4rre filer f\u00f6r traditionella s\u00e4kerhetsverktyg att uppt\u00e4cka.<\/p>\n\n\n\n

Angripare hanterar offer via FruitStone<\/h3>\n\n\n\n

Microsoft uppt\u00e4ckte en exponerad kontrollpanel f\u00f6r angripare kallad FruitStone.<\/p>\n\n\n\n

Panelen gjorde det m\u00f6jligt f\u00f6r operat\u00f6rer att hantera infekterade system, bl\u00e4ddra bland filer, k\u00f6ra PowerShell-kommandon, samla in sk\u00e4rmdumpar och granska f\u00e5ngade tangenttryckningar.<\/p>\n\n\n\n

Microsoft fann ocks\u00e5 omfattande kommentarer i den skadliga koden. Kommentarerna antyder att utvecklarna kan ha anv\u00e4nt AI-verktyg n\u00e4r de skapade eller modifierade delar av skadlig kod.<\/p>\n\n\n\n

Hur resen\u00e4rer kan skydda sina enheter<\/h3>\n\n\n\n

Resen\u00e4rer och organisationer b\u00f6r betrakta hotell- och konferens-Wi-Fi som op\u00e5litligt, \u00e4ven n\u00e4r n\u00e4tverket verkar legitimt.<\/p>\n\n\n\n

Microsoft rekommenderar f\u00f6ljande f\u00f6rsiktighets\u00e5tg\u00e4rder:<\/p>\n\n\n\n