Hotel-WLAN-Angriffe zielen auf Microsoft-365-Konten

Die Hotel-WLAN-Angriffe zielen mithilfe manipulierter DNS-Einstellungen, Phishing-Seiten, missbrauchter Gerätecodes und speziell entwickelter Malware auf Microsoft-365-Konten ab. Microsoft bezeichnet die Kampagne als CaptiveCrunch.

Die Aktivitäten laufen nach Angaben des Unternehmens seit mindestens Anfang Mai. Microsoft geht jedoch davon aus, dass die Angreifer bereits seit Februar Phishing-Kampagnen mit Gerätecodes und OAuth-Phishing durchführen.

Angreifer manipulieren DNS-Einstellungen in Hotel-WLAN-Netzwerken

Das Cybersicherheitsunternehmen ReliaQuest berichtete bereits zuvor über die Kampagne. Die Forscher stellten fest, dass die Angreifer DNS-Einstellungen von WLAN-Geräten veränderten, um Microsoft-365-Konten zu stehlen.

Microsoft schreibt die Aktivitäten Storm-2945 zu, einer Untergruppe von Midnight Blizzard. Das Unternehmen konnte jedoch den genauen Weg des Erstzugriffs nicht bestätigen.

Die Ermittler fanden allerdings Hinweise darauf, dass die Angreifer gemeinsam genutzte Infrastruktur kompromittierten und nicht einzelne Netzwerkgeräte.

Die Angreifer manipulieren DNS- und HTTP-Datenverkehr in Netzwerken mit Captive-Portal-Systemen. Dadurch können sie Verbindungen zu WLAN-Netzen in Hotels und Konferenzzentren abfangen.

Nach der Änderung der DNS-Konfiguration kann die Gruppe Nutzer auf gefälschte Microsoft-365-Anmeldeseiten umleiten. Außerdem können Opfer auf Phishing-Seiten mit Gerätecodes weitergeleitet werden, die die Authentifizierungsabläufe von Microsoft Entra ID missbrauchen.

Microsoft beobachtete diese Phishing-Aktivitäten seit Juli.

Gefälschte Updates liefern CornFlake-Malware aus

CaptiveCrunch verwendet außerdem gefälschte Update-Seiten für Browser und Betriebssysteme. Diese Seiten zeigen ClickFix-Aufforderungen an, die Nutzer dazu bewegen sollen, einen angeblichen Verifizierungsschritt auszuführen.

Stattdessen wird Malware auf Windows-Geräten installiert. Microsoft fand zudem Hinweise darauf, dass einige ClickFix-Seiten Android-Nutzer mit schädlichen APK-Dateien angreifen.

Eine der eingesetzten Malware-Familien, CornFlake, ist ein Go-basierter Remote-Access-Trojaner. Er kann Angreifern eine entfernte Shell bereitstellen und umfangreiche Informationen von infizierten Systemen sammeln.

Zu seinen Funktionen gehören:

• Protokollierung von Tastatureingaben und Überwachung der Zwischenablage
• Erstellung von Screenshots sowie Überwachung über Mikrofon und Webcam
• Diebstahl von Browser-Anmeldedaten und Cookies
• Diebstahl von Microsoft-365-Sitzungstokens
• Exfiltration von Dateien und Überwachung von USB-Geräten
• Systemaufklärung

CornFlake zeigt während der Ausführung ein gefälschtes Fortschrittsfenster an. Die Malware kopiert sich selbst in den AppData-Ordner, um Persistenz einzurichten und gleichzeitig das Opfer abzulenken.

Die Angreifer können das Fenster so konfigurieren, dass es wie ein Windows-Update, ein Defender-Scan, ein Datenträgeroptimierungsprogramm, ein Netzwerkdiagnosetool, ein Browser-Update oder ein Installationsprogramm für einen Dokumentenbetrachter aussieht.

Die Malware verwendet den Namen Cloud Sync Service, um wie eine legitime Windows-Komponente zu wirken. Sie kann den Zugriff über Windows-Dienste, Registry-Run-Schlüssel, geplante Aufgaben und eine Überwachungsroutine aufrechterhalten, die ihre Persistenzmechanismen wiederherstellt.

ChocoShell stiehlt Zugangsdaten direkt aus dem Arbeitsspeicher

Microsoft identifizierte außerdem ChocoShell, einen im Arbeitsspeicher ausgeführten PowerShell-basierten Credential Stealer.

ChocoShell zielt auf Browser-Cookies, gespeicherte Passwörter, Microsoft-365- und Azure-AD-Tokens sowie WLAN-Zugangsdaten ab. Microsoft stellte umfangreiche Kommentare im Quellcode beider Malware-Familien fest und geht davon aus, dass KI-Werkzeuge wahrscheinlich bei deren Entwicklung eingesetzt wurden.

Die Forscher entdeckten außerdem ein frei erreichbares webbasiertes Verwaltungsportal namens FruitStone. Die Bedrohungsgruppe nutzte es, um infizierte Geräte zu verwalten, Dateien der Opfer zu durchsuchen, PowerShell-Befehle auszuführen sowie Screenshots und Tastatureingaben aufzuzeichnen.

Hotel-WLAN-Angriffe können Unternehmenszugangsdaten gefährden, da Reisende sich häufig mit unbekannten Netzwerken verbinden. Microsoft empfiehlt daher, Hotel- und Konferenz-WLAN grundsätzlich als nicht vertrauenswürdig zu behandeln.

Wann immer möglich sollten Reisende private Mobilfunkverbindungen oder verwaltete Netzwerke nutzen. Außerdem sollten sie keine Updates oder Programme installieren, die über Captive-Portale angeboten werden.

Unternehmen sollten phishing-resistente Multi-Faktor-Authentifizierung und Passkeys einsetzen, die Gerätecode-Authentifizierung in Microsoft Entra deaktivieren, wenn sie nicht benötigt wird, und keine Unternehmenskonten für die Anmeldung an Gast-WLAN-Netzwerken verwenden.