Eine russische Hackergruppe nutzt Hotel-WLAN-Netzwerke, um Geschäftsreisende auszuspähen und Zugangsdaten zu Microsoft-365-Konten zu stehlen. Die Kampagne namens „CaptiveCrunch“ richtet sich gezielt gegen Unternehmen weltweit – auch deutsche Firmen könnten betroffen sein.
Microsoft hat eine hochentwickelte globale Cyber-Kampagne aufgedeckt, die Geschäftsreisende ins Visier nimmt. Die Angreifer kompromittieren dabei die WLAN-Netzwerke von Hotels und Konferenzzentren, um an Zugangsdaten für Microsoft-365-Konten zu gelangen. In einem Sicherheitsupdate vom 3. August führt der Konzern die Aktivitäten auf eine Untergruppe des russischen Akteurs Midnight Blizzard zurück, die intern als Storm-2945 verfolgt wird.
Angriff über captive Portale
Die Täter nutzen gezielt die sogenannten Captive Portale aus – jene Anmeldeseiten, die in Hotels und auf Messen üblicherweise den Internetzugang freischalten. Über manipulierte DNS- und HTTP-Einstellungen werden Gäste auf betrügerische Anmeldeseiten umgeleitet, die täuschend echt den Microsoft-365-Login nachahmen. Wer sich dort einloggt, übergibt seine Zugangsdaten direkt an die Angreifer.
Erste Hinweise auf manipulierte DNS-Einstellungen hatte das Sicherheitsunternehmen ReliaQuest bereits am 23. Juli gemeldet. Die Experten vermuteten zunächst eine Beteiligung der Gruppe APT28. Microsofts jüngste Analyse bestätigt nun jedoch eine Verbindung zum APT29-Untercluster.
Die Kampagne begann bereits im Februar 2026 mit Phishing-Angriffen und OAuth-basierten Attacken. Seit Mai 2026 haben die Angreifer ihre Strategie auf die direkte Manipulation des Netzwerkverkehrs umgestellt. Am 31. Juli ordnete Microsoft die Taktiken offiziell der Gruppe Storm-2945 zu.
Gefälschte Updates als Einfallstor
Neben dem Diebstahl von Zugangsdaten dient die Kampagne auch als Verteiler für Schadsoftware. Die Angreifer nutzen dabei eine als ClickFix bekannte Social-Engineering-Masche: Nutzer werden aufgefordert, vermeintlich dringende Software-Updates zu installieren, um Verbindungsprobleme zu beheben.
Wer sich gegen solche perfiden Täuschungsversuche absichern möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen für die Smartphone-Sicherheit. Erfahren Sie, wie Sie mit fünf einfachen Schritten Hacker und Viren wirksam abwehren. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Die als „winupdate“, „browser“ oder „defender“ getarnten Dateien enthalten zwei Schadprogramme:
- CornFlake: Ein in Go programmierter Remote-Access-Trojaner, der den Angreifern dauerhaften Zugriff auf das infizierte Gerät verschafft.
- ChocoShell: Ein auf PowerShell basierender Infostealer, der sensible Daten aus dem System abzieht.
Betroffen sind sowohl Windows- als auch Android-Geräte. Letztere werden über manipulierte APK-Dateien infiziert, die als System-Scans oder Browser-Updates getarnt sind.
Multi-Faktor-Authentifizierung ausgehebelt
Besonders perfide: Die Angreifer umgehen auch die übliche Zwei-Faktor-Authentifizierung. Seit dem 16. Juli nutzen sie dafür sogenanntes Device-Code-Phishing. Dabei werden Nutzer auf eine gefälschte Website gelockt, wo sie einen Code eingeben sollen – unwissentlich autorisieren sie damit die Sitzung der Angreifer auf deren eigenem Gerät.
Selbst Unternehmen mit aktivierter Multi-Faktor-Authentifizierung sind verwundbar, sofern sie nicht auf phishing-resistente Verfahren wie Passkeys setzen oder den Device-Code-Flow komplett deaktiviert haben.
Da herkömmliche Passwörter und einfache Bestätigungscodes oft nicht mehr ausreichen, gewinnt die passwortlose Anmeldung zunehmend an Bedeutung. Dieser Gratis-Report zeigt, wie Sie die neue Technologie bei Diensten wie WhatsApp oder Amazon einrichten und Hacker-Angriffe verhindern. Sichere Alternative zu Passwörtern jetzt kostenlos nachlesen
Weltweite Angriffe auf Schlüsselbranchen
Die Kampagne zeigt eine beachtliche geografische Reichweite. Kompromittierte Netzwerke und gezielte Angriffe wurden in den USA, Indien und Saudi-Arabien identifiziert. Im Fokus stehen hochwertige Unternehmensziele aus:
- Finanzdienstleistungen und Beratung
- Gesundheitswesen und Rechtsdienstleistungen
- Energie und Einzelhandel
Microsoft und ReliaQuest raten Unternehmen, öffentliche und Hotel-WLAN-Netzwerke grundsätzlich als unsicher zu behandeln. Geschäftsreisende sollten bevorzugt mobile Hotspots nutzen, VPN-Verbindungen aufbauen und auf Passkeys oder andere phishing-resistente Authentifizierungsmethoden setzen. Administratoren wird empfohlen, den Device-Code-Flow in ihren Unternehmensumgebungen zu deaktivieren, um das Risiko dieser spezifischen Phishing-Technik zu minimieren.
