Sicherheitsexperten warnen vor einer neuen, großflächigen Cyber-Kampagne, bei der russische Akteure Schwachstellen in der Infrastruktur von Hotels und Konferenzzentren ausnutzen. Wie aus Analysen von ReliaQuest hervorgeht, wird die Aktivität der Gruppierung APT28, die auch unter dem Namen Fancy Bear bekannt ist, seit Juni 2026 beobachtet. Ziel der Angriffe ist der Diebstahl von Zugangsdaten für Microsoft-365-Umgebungen, wobei die Angreifer gezielt Reisende und Veranstaltungsteilnehmer ins Visier nehmen.
Manipulation der Netzwerkinfrastruktur
Der Einbruch in die lokalen Netzwerke erfolgt laut Berichten von heise online vornehmlich über unzureichend gesicherte Router und Gateways für Captive-Portale. Die Angreifer nutzen dabei offene SSH- oder SNMP-Schnittstellen sowie schwache Administratoren-Passwörter aus, um die Kontrolle über die Hardware zu erlangen. Sobald der Zugang gesichert ist, manipulieren die Akteure die DNS-Einstellungen (Domain Name System), um den Internetverkehr der Nutzer unbemerkt umzuleiten.
Im Rahmen dieses sogenannten DNS-Poisonings werden Anfragen zu legitimen Microsoft-Diensten auf gefälschte Anmeldeseiten umgelenkt. Experten von SecurityWeek identifizierten in diesem Zusammenhang mehrere betrügerische Domains, darunter m365-owa.com, owa-ms365.com, ms365-device.com und ms365-live.com. Diese Webseiten sind optisch kaum von echten Microsoft-365-Portalen zu unterscheiden und dienen dazu, Passwörter und Sitzungstoken abzugreifen.
Die Manipulation von DNS-Einstellungen und gefälschte Login-Seiten zeigen, wie raffiniert Cyberkriminelle heute vorgehen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre Infrastruktur wirksam zu schützen. Aktuelle Cyberrisiken und rechtliche Pflichten jetzt entdecken
Umgehung der Multi-Faktor-Authentifizierung
Eine Besonderheit der aktuellen Kampagne ist die gezielte Umgehung von Sicherheitsmechanismen. Laut Fachinformationen von IT-Administrator missbrauchen die Angreifer den sogenannten Device-Code-Flow. Dabei handelt es sich um ein Verfahren, das eigentlich für Geräte ohne Tastatur oder Browser gedacht ist. Durch die Manipulation dieses Prozesses gelingt es APT28, die Multi-Faktor-Authentifizierung (MFA) auszuhebeln und vollen Zugriff auf die Unternehmenskonten der Opfer zu erhalten.
Zusätzlich setzen die Angreifer auf WPAD-Angriffe (Web Proxy Auto-Discovery). Laut Erhebungen von Cybernoz wird diese Technik in rund einem Drittel der dokumentierten Fälle angewendet. Durch die fehlerhafte automatische Konfiguration von Web-Proxys können die Angreifer den Datenverkehr noch effektiver kontrollieren und sensible Informationen extrahieren.
Betroffene Branchen und Regionen
Die Kampagne weist laut Sicherheitsanalysten eine große Ähnlichkeit zur früheren FrostArmada-Serie von APT28 auf, nutzt jedoch eine vollständig neue IT-Infrastruktur. Die geografischen Schwerpunkte der Angriffe liegen derzeit in den USA, Indien und Saudi-Arabien.
Dabei zeigt sich ein deutlicher Fokus auf geschäftskritische Sektoren. Zu den am stärksten betroffenen Branchen zählen:
* Finanzdienstleistungen
* Gesundheitswesen
* Energiewirtschaft
* Rechtsberatung
* Handel und Einzelhandel
Ob im Hotel oder auf Geschäftsreise – die psychologischen Manipulationstaktiken der Hacker werden immer ausgefeilter. Erfahren Sie im kostenlosen Anti-Phishing-Paket, wie Sie Ihr Unternehmen in 4 Schritten effektiv gegen moderne Cyberkriminalität und Identitätsdiebstahl absichern. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Empfohlene Schutzmaßnahmen für Unternehmen
Aufgrund der hohen Professionalität der Angriffe raten IT-Sicherheitsexperten zu dringenden Vorsichtsmaßnahmen für Mitarbeiter im Außendienst. Es wird empfohlen, in öffentlichen Netzwerken grundsätzlich einen Volltunnel-VPN zu verwenden, um den gesamten Datenverkehr zu verschlüsseln. Zudem sollte das DNS-Protokoll im sogenannten Strict-Mode betrieben werden, um Manipulationen der Namensauflösung zu verhindern.
Auf administrativer Ebene sollten Unternehmen prüfen, ob das WPAD-Protokoll sowie der Device-Code-Flow auf den Endgeräten der Mitarbeiter deaktiviert werden können, sofern diese Funktionen für den Geschäftsbetrieb nicht zwingend erforderlich sind. Diese Schritte reduzieren die Angriffsfläche für die beschriebenen Methoden von APT28 signifikant.
