Microsoft warnt vor einer neuen Spionagekampagne, die über manipulierte Hotel-Netzwerke läuft. Betroffen sind vor allem Geschäftsreisende – auch in Europa.
Der Angriff zielt auf Microsoft-365-Zugangsdaten und schleust Schadsoftware in die Geräte der Opfer ein. Dahinter steckt nach Erkenntnissen des US-Konzerns die russische Hackergruppe Storm-2945, die dem Auslandsgeheimdienst SVR zugeordnet wird. Branchenkenner sehen Verbindungen zum berüchtigten APT29-Komplex, auch bekannt als „Midnight Blizzard“. Die Kampagne läuft unter dem internen Codenamen CaptiveCrunch und ist seit Mai 2026 aktiv.
So funktioniert der Angriff
Die Angreifer haben es auf die sogenannten Captive Portals abgesehen – jene Anmeldeseiten, über die Hotels den Internetzugang für Gäste verwalten. Durch Manipulation der DNS- und HTTP-Verbindungen auf diesen Zugangswegen werden Nutzer auf gefälschte Microsoft-365-Loginseiten umgeleitet. Sicherheitsforscher haben mehrere betrügerische Domains identifiziert, darunter m365-owa[.]com, owa-ms365[.]com und ms365-live[.]com.
Doch damit nicht genug: Die Hacker verteilen über täuschend echte Systemmeldungen auch Schadsoftware. Nutzer erhalten etwa den Hinweis, ein Browser-Update oder Sicherheitspatch sei erforderlich, um sich mit dem Internet zu verbinden. Tatsächlich installieren sie dabei eines von zwei Schadprogrammen:
- CornFlake – ein Trojaner für Fernzugriff, geschrieben in der Programmiersprache Go. Er verschafft den Angreifern dauerhaften Zugang zum kompromittierten System.
- ChocoShell – ein auf PowerShell basierender Datendieb, der sensible Informationen, Tastatureingaben und Authentifizierungstokens abgreift.
Wer sich beruflich oder privat mit digitaler Sicherheit befasst, sollte die neuesten Taktiken von Cyberkriminellen kennen. Dieses kostenlose E-Book enthüllt aktuelle Bedrohungen und zeigt, wie Sie Sicherheitslücken effektiv schließen. Gratis-E-Book: Cyber-Security-Trends entdecken
Die Kampagne richtet sich branchenübergreifend gegen Finanzinstitute, Kanzleien, Gesundheitswesen, Energieunternehmen und den Einzelhandel. Der Fokus liegt auf Städten in den USA, die Aktivitäten sind jedoch global – auch deutsche Unternehmen und Reisende sind potenziell betroffen.
MFA ausgehebelt: Die Gefahr durch Gerätecode-Phishing
Besonders perfide: Die Angreifer setzen auf Device-Code-Phishing, um die Zwei-Faktor-Authentifizierung (MFA) zu umgehen. Diese Methode kommt seit dem 16. Juli 2026 zum Einsatz. Das Vorgehen ist raffiniert: Der Angreifer startet einen Login-Prozess, der einen Gerätecode generiert. Das Opfer wird aufgefordert, diesen Code auf einer legitimen Microsoft-Seite einzugeben. Wer das tut, erteilt dem Angreifer unwissentlich ein Zugriffstoken – die MFA-Schutzmechanismen greifen ins Leere, der Angreifer erhält vollen Kontrollzugang.
Professionelle Phishing-Angriffe nutzen oft psychologische Tricks, um selbst erfahrene Anwender zu täuschen. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie manipulative Methoden entlarven und Ihr Unternehmen proaktiv schützen. Kostenloses Anti-Phishing-Paket jetzt herunterladen
Schutzmaßnahmen für Geschäftsreisende
Angesichts der laufenden Kampagne empfehlen Sicherheitsexperten Geschäftsreisenden und Unternehmen, ihre Sicherheitsvorkehrungen zu verschärfen. Wer auf Reisen ist, sollte nach Möglichkeit auf persönliche Mobilfunk-Hotspots statt auf öffentliche WLAN-Netze setzen. Ist die Nutzung des Hotelnetzwerks unvermeidbar, schafft ein VPN Abhilfe – es verschlüsselt den Datenverkehr und schützt vor DNS-Manipulation.
Unternehmen sollten zudem den Device-Code-Flow in ihren Conditional-Access-Richtlinien überprüfen und gegebenenfalls deaktivieren. Darüber hinaus helfen Zero-Trust-Sicherheitsmodelle und eine verbesserte DNS-Überwachung dabei, Verbindungen zu bekannten Schad-Domains frühzeitig zu blockieren.
Die Kampagne zeigt einmal mehr: Öffentliche WLAN-Netze sind ein beliebtes Einfallstor für staatliche Hacker. Wer geschäftlich unterwegs ist, sollte sich der Risiken bewusst sein – und im Zweifel lieber auf das eigene Mobilfunknetz setzen.
