In seinem aktuellen Threat Intelligence-Bericht warnt Microsoft vor einer neuen, global agierenden Cyberspionage-Kampagne namens „CaptiveCrunch“. Die Operation, die auf die Kompromittierung von WLAN-Netzwerken in Hotels abzielt, wird der russischen Gruppierung Storm-2945 zugeschrieben. Die auch unter den Namen Midnight Blizzard, APT29 oder SVR bekannte Gruppe ist den Sicherheitsexperten zufolge bereits seit Mai 2026 aktiv, wobei vereinzelte Erkenntnisse sogar auf einen Beginn im Februar 2026 hindeuten.
Methodik der CaptiveCrunch-Kampagne
Die Angreifer nutzen laut Microsoft manipulierte Captive Portals und gefälschte Login-Seiten, um an die Zugangsdaten der Hotelgäste zu gelangen. Ein zentrales Element der Strategie ist die Manipulation von DNS- und HTTP-Verbindungen. Sobald sich ein Nutzer im Netzwerk anmeldet, werden gefälschte Windows-Update-Pop-ups eingeblendet. Diese täuschen eine notwendige Systemaktualisierung vor, um die Anwender zum Download von Schadsoftware zu bewegen.
Im Zuge dieser Angriffe werden spezialisierte Malware-Stämme installiert. Das Programm „CornFlake“ ist primär auf den Diebstahl von Browser-Cookies ausgerichtet, während „ChocoShell“ zur Überwachung von Audio- und Videosignalen dient. Die installierte Malware ermöglicht es den Angreifern, Tastatureingaben aufzuzeichnen, Screenshots anzufertigen und Browser-Credentials auszulesen. Darüber hinaus besteht die Möglichkeit, Video- und Audioaufnahmen über die Kamera und das Mikrofon des infizierten Geräts zu erstellen sowie eine vollständige Remote-Übernahme des Systems durchzuführen.
Regionale Ziele und technologische Raffinesse
Wer sich gegen professionelle Ausspäh-Versuche und den Diebstahl sensibler Zugangsdaten wappnen möchte, sollte auf moderne Sicherheitsverfahren setzen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sofort einrichten, um Hackern keine Chance mehr zu lassen. Sicher, bequem und passwortlos – jetzt gratis nachlesen
Die Kampagne richtet sich gezielt gegen Reisende und Hotelketten. Als regionale Schwerpunkte identifizierte Microsoft bisher Hotels in den USA, Indien und Saudi-Arabien. Die Angreifer setzen bei der Verteilung der Malware zudem auf KI-gestützte Phishing-Techniken, um die Effektivität ihrer Kampagne zu steigern.
Besonders kritisch bewerten die Experten die Fähigkeit der Gruppe, herkömmliche Sicherheitsmechanismen zu unterlaufen. Durch die gezielte Manipulation der Captive Portals und der DNS-Einträge gelingt es den Akteuren teilweise, die Zwei-Faktor-Authentifizierung (2FA) zu umgehen und so Zugriff auf geschützte Konten zu erhalten.
Sicherheitsempfehlungen für Reisende und Unternehmen
Die Gefahr durch gehackte Online-Konten nimmt stetig zu, weshalb Experten raten, die eigene digitale Identität grundlegend abzusichern. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie die sichere Alternative zum herkömmlichen Passwort nutzen und sich per Fingerabdruck oder Gesichtserkennung anmelden. Kostenlosen Report zur passwortlosen Anmeldung herunterladen
Angesichts der anhaltenden Bedrohung hat Microsoft detaillierte Handlungsempfehlungen für betroffene Akteure veröffentlicht. Reisende werden dazu angehalten, öffentliche WLAN-Netzwerke für sensible Transaktionen zu meiden und stattdessen mobile Hotspots zu nutzen. Da System-Updates niemals über eine WLAN-Login-Seite initiiert werden, sollten Nutzer entsprechende Pop-ups konsequent ignorieren und Updates ausschließlich aus offiziellen Quellen beziehen.
Für den Schutz der Endgeräte wird empfohlen, automatische Updates zu deaktivieren, um eine manuelle Verifizierung in sicheren Netzwerken zu ermöglichen. Die Aktivierung der Multi-Faktor-Authentifizierung (MFA) bleibt weiterhin ein zentraler Schutzpfeiler. Unternehmen rät Microsoft zudem, verstärkt auf Zero-Trust-Modelle zu setzen und Mitarbeitern auf Reisen die Nutzung von VPN-Verbindungen vorzuschreiben, um den Datenverkehr vor unbefugtem Zugriff zu schützen.
