In einer aktuellen Sicherheitswarnung vom 3. August 2026 hat Microsoft vor einer gezielten Kampagne russischer Geheimdienst-Operateure gewarnt. Demnach kompromittieren Akteure der Gruppe Storm-2945, die dem Verbund Midnight Blizzard (auch bekannt als APT29 oder SVR) zugerechnet wird, sogenannte Captive-Portal-Netzwerke in Hotels. Ziel dieser Operationen ist der Einsatz von Schadsoftware zum Datendiebstahl, sogenannten Infostealern.
Die unter dem Namen „CaptiveCrunch“ geführte Kampagne wird seit Ende Juli 2026 offiziell dem Akteur Storm-2945 zugeordnet. Laut Microsoft handelt es sich dabei um einen spezialisierten Sub-Cluster von Midnight Blizzard. Die Angriffe richten sich vorwiegend gegen Reisende in Hotels und Konferenzzentren, die versuchen, über die dortigen Vorschaltseiten (Captive Portals) eine Internetverbindung herzustellen.
Mechanismen der Manipulation und KI-Einsatz
Nach Erkenntnissen von Microsoft ist die Kampagne bereits seit Anfang Mai 2026 aktiv. Die Angreifer manipulieren dabei DNS- und HTTP-Anfragen innerhalb der Hotel-Netzwerke, um Nutzer auf gefälschte Microsoft-Anmelseiten oder manipulierte Update-Hinweise umzuleiten. Diese sogenannten „ClickFix“-Aufforderungen erscheinen unter Namen wie „winupdate“, „defender“ oder „directx“. Bereits seit Februar 2026 beobachtet das Unternehmen zudem den Einsatz von KI-gestützten Operationen im Rahmen dieser Kampagne.
Seit dem 16. Juli 2026 setzen die Angreifer verstärkt auf Device-Code-Phishing. Bei dieser Methode werden die Opfer dazu verleitet, von den Angreifern generierte Codes auf legitimen Microsoft-Anmeldeseiten einzugeben. Auf diese Weise können die Hacker Zugriff auf Konten erlangen, die eigentlich durch eine Multi-Faktor-Authentifizierung (MFA) geschützt sind. Die Kampagne zielt dabei sowohl auf Geräte mit Windows- als auch mit Android-Betriebssystemen ab.
Angesichts der Zunahme von komplexen Phishing-Angriffen auf Windows- und Android-Geräte ist ein effektiver Schutz der eigenen Konten wichtiger denn je. Dieser kostenlose Report zeigt Ihnen, wie Sie Passkeys bei Diensten wie Microsoft oder WhatsApp einrichten und sich so ohne unsichere Passwörter anmelden. Kostenlosen Passkey-Ratgeber jetzt herunterladen
Einsatz spezialisierter Schadsoftware
Die bei den Angriffen genutzte Malware umfasst zwei wesentliche Komponenten. Zum einen identifizierte Microsoft den „CornFlake RAT“, einen in der Programmiersprache Go verfassten Remote-Access-Trojaner. Dieser zeichnet sich durch seine Persistenz aus und verfügt über Funktionen zum Keylogging sowie zur Audio- und Video-Überwachung. Zudem ist die Software in der Lage, Authentifizierungs-Token zu stehlen und Remote-Shell-Zugriffe zu ermöglichen. Die Malware kopiert sich laut Microsoft in das Verzeichnis %APPDATA%svchost32svchost32.exe und registriert sich im System als legitimer „Cloud Sync Service“.
Die zweite Komponente, „ChocoShell“, ist ein PowerShell-basierter Infostealer, der speziell auf den Diebstahl von Microsoft-365-Tokens und WLAN-Zugangsdaten ausgelegt ist. Gesteuert werden diese Operationen über ein Kontrollzentrum namens „FruitStone“. Betroffen von der Kampagne sind unter anderem Städte in den USA, Indien und Saudi-Arabien. Die Angriffe konzentrieren sich auf sensible Wirtschaftsbereiche wie das Finanz- und Rechtswesen, das Gesundheitswesen, die Energiebranche sowie den Einzelhandel.
Wer sich vor dem Diebstahl sensibler Daten durch Malware und Infostealer auf mobilen Geräten schützen möchte, sollte grundlegende Sicherheitsvorkehrungen treffen. Erfahren Sie in diesem gratis PDF-Ratgeber, welche fünf einfachen Maßnahmen Ihr Smartphone effektiv vor Hackern und Internet-Kriminalität abschirmen. 5 Schutzmaßnahmen für Smartphones gratis sichern
Widersprüchliche Einschätzungen zur Urheberschaft
Bereits Ende Juli 2026 hatte das Sicherheitsunternehmen ReliaQuest über die Kampagne berichtet und kompromittierte Gateways in mehreren US-Städten gemeldet. ReliaQuest ordnete die Vorfälle jedoch der Gruppe APT28 zu. Dieser Einschätzung widersprach Microsoft ausdrücklich. Die Experten des Softwarekonzerns betonten, dass die Kampagne nicht in Verbindung mit FrostArmada (APT28) stehe, sondern eindeutig Storm-2945 zuzurechnen sei.
Microsoft empfiehlt betroffenen Organisationen und Reisenden, öffentliche WLAN-Netzwerke grundsätzlich als nicht vertrauenswürdig einzustufen. Es sollte bevorzugt auf mobile Hotspots zurückgegriffen werden. Zudem wird geraten, keine Software-Downloads über Captive Portale durchzuführen und die Nutzung von Passkeys zu forcieren. In Unternehmensnetzwerken sollte zudem der Device-Code-Flow innerhalb der Conditional-Access-Richtlinien deaktiviert und die Anmelde-Protokolle konsequent überwacht werden.
