In einer aktuellen Sicherheitsmitteilung warnt der Softwarekonzern Microsoft vor einer gezielten Angriffswelle, die unter dem Namen „CaptiveCrunch“ bekannt geworden ist. Die Kampagne richtet sich primär gegen Unternehmensreisende, die öffentliche WLAN-Verbindungen in Hotels nutzen.
Hinter den Aktivitäten wird die russische Hackergruppe Midnight Blizzard vermutet, die in Sicherheitskreisen auch unter der Bezeichnung Storm-2945 geführt wird. Ziel der Angriffe ist es, sensible Unternehmensdaten direkt von den Endgeräten reisender Mitarbeiter abzugreifen.
Manipulierte Zugangsportale und gefälschte Updates
Nach Erkenntnissen von Microsoft nutzen die Angreifer eine Schwachstelle im Anmeldeprozess öffentlicher Netzwerke aus. Reisende, die sich in ein Hotel-WLAN einloggen möchten, werden dabei oft über sogenannte Captive Portals geleitet. Die Gruppe Midnight Blizzard manipuliert diese Portale oder schaltet gefälschte Pop-up-Fenster vor, die dem Nutzer dringende Browser-Updates vortäuschen.
Sobald ein Anwender die Installation dieser vermeintlichen Systemaktualisierungen bestätigt, wird die Schadsoftware „CornFlake“ auf das Gerät übertragen.
Wer sich mit den Gefahren durch manipulierte Portale und Phishing-Versuche befasst, benötigt eine klare Strategie zur Abwehr. Dieser kostenlose Leitfaden zeigt Unternehmen in vier Schritten, wie sie sich wirksam gegen psychologische Manipulationstaktiken und Hackerangriffe schützen. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe bevor sie entstehen
Diese Vorgehensweise ermöglicht es den Akteuren, die Sicherheitsbarrieren der Betriebssysteme zu umgehen, da der Nutzer den Download durch die Täuschung selbst autorisiert. Microsoft dokumentiert diese gezielte Kampagne bereits seit Mai 2026, wobei die Intensität der Angriffe in den letzten Monaten stetig zugenommen hat.
Überwachung durch die Malware CornFlake
Die eingesetzte Malware CornFlake zeichnet sich durch umfangreiche Spionagefunktionen aus. Einmal auf dem System installiert, ist das Programm laut Microsoft in der Lage, sämtliche Tastatureingaben des Nutzers zu protokollieren. Darüber hinaus verfüge die Software über Mechanismen, um Audio- und Videoaufnahmen über die integrierte Hardware der infizierten Laptops oder Tablets anzufertigen.
Der Fokus der Angreifer liegt jedoch primär auf der Extraktion von Zugangsdaten. Microsoft berichtet, dass die Malware gezielt Browser-Cookies und gespeicherte Passwörter entwendet.
Besonders kritisch wird der Diebstahl von Microsoft-365-Tokens eingestuft. Diese digitalen Identitätsmerkmale ermöglichen es den Angreifern unter Umständen, die Multi-Faktor-Authentifizierung zu umgehen und direkten Zugriff auf Cloud-Ressourcen und interne Kommunikationskanäle der betroffenen Unternehmen zu erhalten.
Der Schutz sensibler Firmendaten ist besonders bei der Nutzung von Cloud-Diensten und mobilen Endgeräten eine zentrale Herausforderung. Ein aktuelles Gratis-E-Book liefert fundierte Informationen zu neuen Cyberbedrohungen und zeigt auf, wie Unternehmen ihre IT-Sicherheit proaktiv stärken können. IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen
Sicherheitsempfehlungen für Geschäftsreisende
Angesichts der Professionalität der Gruppe Midnight Blizzard hat Microsoft detaillierte Handlungsempfehlungen für mobile Mitarbeiter veröffentlicht. Grundsätzlich rät das Unternehmen dazu, die Nutzung öffentlicher WLAN-Netzwerke in Hotels oder an Flughäfen nach Möglichkeit vollständig zu vermeiden.
Stattdessen sollten Geschäftsreisende auf persönliche Hotspots über ihre eigenen Mobilfunkgeräte zurückgreifen, um eine kontrollierte Internetverbindung herzustellen.
Sollte die Verwendung eines Hotel-WLANs dennoch erforderlich sein, sei der Einsatz einer verschlüsselten VPN-Verbindung (Virtual Private Network) unerlässlich, um den Datenverkehr vor unbefugtem Mitlesen zu schützen. Microsoft betont zudem, dass Software-Updates niemals über die Anmeldeseiten öffentlicher Netzwerke bezogen werden sollten.
Nutzer sollten solche Aufforderungen konsequent ablehnen und Aktualisierungen ausschließlich über die offiziellen Systemeinstellungen oder die Webseiten der Softwarehersteller durchführen. Auch bei der Eingabe von Zugangsdaten auf Portalen, die nach dem Verbinden mit einem WLAN erscheinen, sei höchste Vorsicht geboten, um dem Diebstahl von Anmeldeinformationen vorzubeugen.
