Sicherheitsexperten von Microsoft haben eine global angelegte Cyberspionage-Kampagne aufgedeckt, die gezielt Reisende in Hotels und Konferenzzentren ins Visier nimmt. Die unter dem Namen CaptiveCrunch bekannte Operation wird der Gruppe Storm-2945 zugeschrieben, einem Untercluster des bekannten Bedrohungsakteurs Midnight Blizzard. Nach Angaben von Microsoft Threat Intelligence ist die Kampagne bereits seit Anfang Mai aktiv und kompromittiert weltweit Captive-Portal-Netzwerke.
Manipulation von DNS- und HTTP-Traffic
Die Angreifer nutzen den Zugang zu den WLAN-Infrastrukturen, um den DNS- und HTTP-Datenverkehr der Nutzer zu manipulieren. Dabei werden Anwender gezielt auf gefälschte Software-Update-Seiten oder präparierte Device-Code-Phishing-Seiten umgeleitet. In etwa einem Drittel der untersuchten Fälle wurde zudem versucht, das Web Proxy Auto-Discovery (WPAD) Protokoll für den Angriff zu missbrauchen.
Seit Mitte Juli beobachten Analysten eine verstärkte Umleitung auf Landingpages zur Device-Code-Authentifizierung von Microsoft. Diese Methode ist besonders gefährlich, da sie in der Lage ist, herkömmliche Multi-Faktor-Authentifizierungen (MFA) zu umgehen. Ziel der Angreifer ist die Erlangung von Microsoft-365-Anmeldedaten, um Zugang zu Unternehmensressourcen zu erhalten.
Rekordschäden durch Phishing und manipulierte Logins zeigen, wie wichtig eine proaktive Absicherung für Betriebe heute ist. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam vor modernen Zugriffstaktiken schützen kann. Anti-Phishing-Paket für Unternehmen kostenlos herunterladen
Einsatz spezialisierter Schadsoftware
Im Verlauf der CaptiveCrunch-Kampagne kommen verschiedene Malware-Typen zum Einsatz. Identifiziert wurde unter anderem der in der Programmiersprache Go verfasste Remote-Access-Trojaner (RAT) CornFlake. Ergänzend dazu nutzen die Angreifer den PowerShell-basierten Infostealer ChocoShell.
Microsoft veröffentlichte eine Reihe von Indikatoren, die auf eine Kompromittierung hinweisen. Dazu gehören Domains wie ms365-device.com, ms365-live.com, m365-owa.com und owa-ms365.com. Zudem wurden spezifische IP-Adressen wie 31.57.243.154, 38.146.28.75 und 107.189.26.194 mit der Infrastruktur der Angreifer in Verbindung gebracht. Die Schadsoftware wurde anhand der Hashes 918fa52ae45ed60ba7cc8bdc99c3cbe9ab92e0375ec31fc05d0d4513be11c593 (CornFlake) und be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c (ChocoShell) eindeutig identifiziert.
Regionale Schwerpunkte und unabhängige Analysen
Unabhängig von Microsoft identifizierte das Sicherheitsunternehmen ReliaQuest die Aktivitäten gegen Ende Juli. Den Analysen zufolge ist die Kampagne bereits seit mindestens Juni verstärkt in mehreren Städten in den USA aktiv. Dort wurden gezielt Wi-Fi-Gateways kompromittiert, um DNS-Einstellungen so zu verändern, dass Nutzer auf gefälschte Microsoft-365-Loginseiten geführt werden.
Wer sich mit der Abwehr komplexer Cyberangriffe befasst, muss die psychologischen Manipulationstaktiken der Hacker kennen. Dieser Gratis-Report enthüllt aktuelle Methoden der Kriminellen und zeigt, wie Sie Sicherheitslücken proaktiv schließen. Kostenlosen Report zur Hacker-Abwehr sichern
Empfehlungen für Unternehmen und Reisende
Aufgrund der hohen Professionalität der Angriffe raten Experten zu verstärkten Sicherheitsvorkehrungen bei der Nutzung öffentlicher oder halböffentlicher Netzwerke. Ein wesentlicher Schutzfaktor sei der Einsatz von Full-Tunnel-VPN-Lösungen, die den gesamten Datenverkehr verschlüsseln und so Manipulationen auf lokaler Netzwerkebene verhindern. Alternativ könne die Nutzung von Mobilfunk-Hotspots das Risiko einer Kompromittierung durch manipulierte WLAN-Infrastrukturen deutlich senken.
Unternehmen wird zudem empfohlen, den Device-Code-Flow in ihren Microsoft-Umgebungen zu blockieren, sofern dieser nicht zwingend benötigt wird. Des Weiteren sollten phishing-resistente MFA-Methoden durchgesetzt werden, um den Diebstahl von Sitzungsdaten und Anmeldeinformationen zu erschweren. Die Beobachtungen zeigen, dass klassische Sicherheitsmaßnahmen in öffentlichen Netzwerken allein oft nicht mehr ausreichen, um gezielte Angriffe staatlich akzentuierter Gruppen abzuwehren.
