DNS-Hijacking in Hotel-WLANs zielt auf Microsoft-365-Konten ab

Hacker kompromittieren WLAN-Gateways in Hotels und Konferenzzentren, um Gäste auf gefälschte Microsoft-365-Anmeldeseiten umzuleiten. Die Kampagne richtet sich offenbar gegen reisende Beschäftigte aus mehreren Branchen und gefährdet geschäftliche E-Mails, Dokumente und andere sensible Daten.

Forscher haben kompromittierte WLAN-Geräte in mehreren US-Städten sowie an Standorten in Indien und Saudi-Arabien identifiziert. Betroffene Organisationen stammen aus den Bereichen Finanzdienstleistungen, Rechtsberatung, Gesundheitswesen, Energie, Einzelhandel und professionelle Dienstleistungen.

Angreifer ändern DNS-Einstellungen von WLAN-Netzwerken

Die Angreifer verschaffen sich Administratorzugriff auf WLAN-Gateways, obwohl der ursprüngliche Zugangspunkt weiterhin unklar ist. Mögliche Methoden umfassen exponierte oder schlecht geschützte Verwaltungsoberflächen wie SSH, SNMP und webbasierte Admin-Panels sowie ungepatchte Sicherheitslücken.

Nach dem Zugriff ändern die Angreifer die DNS-Einstellungen des Gateways. Dadurch können sie Personen, die legitime Microsoft-Anmeldedienste aufrufen möchten, stattdessen auf Phishing-Infrastruktur umleiten.

Forscher fanden mindestens vier Domains, die für gefälschte Microsoft-365-Anmeldeportale verwendet wurden:

m365-owa[.]com

owa-ms365[.]com

ms365-device[.]com

ms365-live[.]com

Nutzer können daher glauben, sich bei Microsoft 365 anzumelden, während sie ihre Zugangsdaten auf einer von den Angreifern kontrollierten Seite eingeben.

Gerätecode-Aufforderungen können MFA umgehen

In einigen Fällen nutzten die Angreifer einen betrügerischen Gerätecode-Authentifizierungsablauf. Die Opfer wurden auf eine gefälschte Microsoft-Seite umgeleitet und aufgefordert, eine Anmeldeanfrage zu bestätigen.

Eine Bestätigung verifiziert jedoch nicht nur die eigene Anmeldung des Nutzers. Sie kann stattdessen eine vom Angreifer gestartete Sitzung autorisieren und dem Gerät des Angreifers ein legitimes OAuth-Token ausstellen.

Diese Methode kann die Multi-Faktor-Authentifizierung umgehen, ohne dass die Angreifer Passwörter stehlen oder bestehende Zugriffstoken abfangen müssen.

Angreifer versuchten auch, WPAD zu missbrauchen

In etwa einem Drittel der untersuchten Vorfälle versuchten die Angreifer, Web Proxy Auto-Discovery, kurz WPAD, auszunutzen.

Sie beantworteten die automatischen WPAD-Anfragen von Windows mit einer bösartigen Proxy-Auto-Configuration-Datei. Bei Erfolg könnte der Angriff den Datenverkehr von Windows-Anwendungen, einschließlich Chrome, über einen von den Angreifern kontrollierten Proxy leiten.

Die Forscher konnten nicht bestätigen, ob diese Proxy-Angriffe erfolgreich waren.

Öffentliche DNS-Dienste stoppen den Angriff nicht allein

Ein öffentlicher DNS-Dienst wie Googles 8.8.8.8 schützt nicht zwangsläufig vor diesen DNS-Hijacking-Angriffen in Hotel-WLANs. Das kompromittierte Gateway kann unverschlüsselte DNS-Anfragen fälschen, bevor sie den ausgewählten DNS-Resolver erreichen.

Reisende und Organisationen sollten ein dauerhaft aktives Full-Tunnel-VPN zusammen mit verschlüsseltem DNS im strikten Modus einsetzen. Sicherheitsteams sollten WPAD außerdem deaktivieren, wo dies möglich ist, Protokolle auf verdächtige Authentifizierungsaktivitäten prüfen und die Gerätecode-Authentifizierung in Microsoft Entra ID abschalten, wenn sie nicht benötigt wird.