Sicherheitsforscher des IT-Sicherheitsunternehmens ReliaQuest haben eine laufende Cyber-Kampagne identifiziert, die gezielt Geschäftsreisende in Hotels und Konferenzzentren ins Visier nimmt. Dabei kompromittieren Bedrohungsakteure die Infrastruktur von Wi-Fi-Gateways, um Anmeldedaten für Microsoft-365-Konten abzufangen und zu übernehmen. Die Angriffe wurden bereits in verschiedenen Regionen und Branchen beobachtet.
Schwache Zugangsdaten als Einfallstor
Nach Erkenntnissen von ReliaQuest nutzen die Angreifer Sicherheitslücken in sogenannten Captive-Portal-Geräten aus. Dies sind die Vorschaltseiten, über die sich Nutzer üblicherweise in öffentlichen oder halbprivaten Netzwerken anmelden. Der Zugriff auf diese Geräte gelingt den Akteuren demnach häufig über schwache Administrator-Zugangsdaten, etwa bei Protokollen wie SSH oder SNMP sowie über webbasierte Konfigurationskonsolen.
Sobald die Kontrolle über ein Gateway erlangt wurde, setzen die Angreifer DNS-Poisoning ein. Diese Technik ermöglicht es, den Datenverkehr der Nutzer gezielt umzuleiten. Anstatt auf legitime Dienste zuzugreifen, werden die Opfer auf gefälschte Anmeldeseiten für Microsoft 365 geführt. In diesem Zusammenhang wurden vier spezifische bösartige Domains identifiziert: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com.
4,7 Millionen gehackte Konten pro Quartal in Deutschland – sind Sie der Nächste? Experten warnen: Wer noch Passwörter nutzt, geht ein unnötiges Risiko ein. So schützen Sie sich jetzt kostenlos. Sicher, bequem und passwortlos – So funktionieren Passkeys
Umgehung der Multi-Faktor-Authentifizierung
Ein zentrales Merkmal der Kampagne ist der Einsatz des sogenannten Device-Code-Flows. Diese Funktion ist ursprünglich dafür vorgesehen, Geräte ohne einfache Eingabemöglichkeit an Cloud-Diensten anzumelden. Die Angreifer missbrauchen diesen Prozess jedoch gezielt, um Sicherheitsvorkehrungen wie die Multi-Faktor-Authentifizierung (MFA) zu umgehen.
Zusätzlich beobachteten die Experten bei etwa einem Drittel der untersuchten Fälle einen Missbrauch des Web Proxy Auto-Discovery (WPAD) Protokolls. Die technischen Merkmale sowie die verwendeten Taktiken und Verfahren weisen laut ReliaQuest deutliche Ähnlichkeiten mit der bekannten Gruppe APT28 auf, die in Fachkreisen auch unter den Namen Fancy Bear oder FrostArmada geführt wird.
Betroffene Regionen und Branchen
Die Kampagne ist bereits seit Juni 2026 aktiv. Geografische Schwerpunkte der Angriffe liegen derzeit in den USA, Indien und Saudi-Arabien. Dabei beschränken sich die Aktivitäten nicht auf eine einzelne Industrie. Zu den betroffenen Sektoren gehören unter anderem das Finanz- und Rechtswesen, das Gesundheitswesen, die Energiebranche sowie der Einzelhandel.
Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll? Ein kostenloser Report zeigt, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sofort einrichten. Kostenlosen PDF-Report jetzt anfordern
Im Rahmen der Untersuchung wurden zudem spezifische IP-Adressen identifiziert, die der Infrastruktur der Angreifer zugeordnet werden: 38.146.28.75, 31.57.243.154 und 104.194.159.150.
Empfohlene Schutzmaßnahmen für Unternehmen
Aufgrund der Professionalität der Angriffe raten Experten zu verstärkten Sicherheitsvorkehrungen für Mitarbeiter auf Geschäftsreisen. Zu den empfohlenen Maßnahmen gehört die konsequente Nutzung von Full-Tunnel-VPN-Verbindungen, die den gesamten Datenverkehr verschlüsseln und so vor Manipulationen im lokalen Netzwerk schützen.
Des Weiteren wird empfohlen, verschlüsseltes DNS zu verwenden und das WPAD-Protokoll auf Firmengeräten zu deaktivieren. Um die spezifische Methode der Kontoübernahme zu unterbinden, sollten Organisationen zudem in Erwägung ziehen, den Device-Code-Flow in den Sicherheitsrichtlinien ihrer Cloud-Umgebungen zu blockieren, sofern dieser für den Geschäftsbetrieb nicht zwingend erforderlich ist.
