Die unter dem Namen Midnight Blizzard bekannte und dem russischen Auslandsgeheimdienst SVR zugerechnete Hackergruppe setzt eine neue Schadsoftware ein, um gezielt Microsoft-365-Konten von Reisenden zu kompromittieren. Wie aus aktuellen Berichten von Microsoft und Sicherheitsdienstleistern wie ReliaQuest hervorgeht, nutzt die als Storm-2945 bezeichnete Untergruppe der APT29-Akteure manipulierte WLAN-Netzwerke in Hotels und Konferenzzentren für ihre Kampagne.
Manipulation von Captive Portalen und DNS-Verkehr
Der Angriffsvektor konzentriert sich auf die sogenannten Captive Portale, die Anmeldeseiten öffentlicher WLAN-Netzwerke. Durch DNS- und HTTP-Manipulationen gelingt es den Angreifern, den Datenverkehr der Nutzer umzuleiten. Anstatt der regulären Anmeldeseite des Hotels werden die Opfer auf gefälschte Update-Aufforderungen oder Phishing-Seiten geführt. Diese täuschend echten Prompts nutzen Begriffe wie „winupdate“ oder „defender“, um eine Systemaktualisierung vorzutäuschen.
Die technische Infrastruktur hinter diesen Angriffen basiert auf der Custom-Malware CaptiveCrunch. Diese umfasst verschiedene Komponenten wie CornFlake, einen in der Programmiersprache Go geschriebenen Remote Access Trojaner (RAT), sowie ChocoShell, einen Infostealer auf PowerShell-Basis. Die Schadsoftware zielt primär auf Windows-Systeme ab, wobei im Rahmen der Kampagne auch eine bösartige Android-APK-Datei identifiziert wurde. Die Steuerung und Verwaltung der infizierten Systeme erfolgt über ein Kontrollzentrum namens FruitStone-Panel.
Zeitlicher Verlauf und Umgehung von Sicherheitsmechanismen
Die Aktivitäten der Gruppe weisen eine längere Vorlaufzeit auf. Während allgemeine Phishing-Aktivitäten bereits seit Februar 2026 beobachtet wurden, startete die gezielte Manipulation des Netzwerkverkehrs im Mai 2026. ReliaQuest meldete Kompromittierungen am 23. Juli, nachdem Device-Code-Phishing innerhalb dieser Kampagne verstärkt seit dem 16. Juli zum Einsatz kam. Grundsätzlich wird diese spezifische Phishing-Methode von der Gruppe bereits seit August 2024 genutzt.
Angriffe auf Online-Konten nehmen massiv zu, doch eine neue Technologie soll Passwörter und damit die größte Schwachstelle für Hacker nun endgültig ablösen. Dieser kostenlose Report zeigt, wie Sie die sichere Alternative bei Amazon, Microsoft und WhatsApp sofort einrichten. Was hinter Passkeys steckt und wie Sie diese nutzen
Besonders kritisch bewerten Sicherheitsanalysten den Einsatz von Device-Code-Phishing, da diese Methode geeignet ist, die Multi-Faktor-Authentifizierung (MFA) zu umgehen. In etwa einem Drittel der dokumentierten Fälle wurde zudem ein Missbrauch des Web Proxy Auto-Discovery Protocol (WPAD) festgestellt. Zur Täuschung der Anwender verwendet die Gruppe eine Reihe von Domains, die legitimen Microsoft-Diensten nachempfunden sind, darunter m365-owa[.]com, owa-ms365[.]com sowie ms365-device[.]com und ms365-live[.]com. Aufgrund der Struktur der Malware wird in Fachkreisen vermutet, dass die Entwicklung KI-gestützt erfolgte.
Betroffene Regionen und Schutzmaßnahmen
Die Sicherheitsvorfälle wurden bislang schwerpunktmäßig in den USA, Indien und Saudi-Arabien lokalisiert. In den USA wurden insbesondere kompromittierte Gateways in verschiedenen Großstädten identifiziert. Die Angriffe nutzen dabei sogenannte ClickFix-Prompts, um Nutzer zur Interaktion mit bösartigen Inhalten zu bewegen.
Pro Quartal werden Millionen Konten in Deutschland gehackt, wobei herkömmliche Passwörter oft das schwächste Glied in der Sicherheitskette darstellen. Experten erklären in diesem Gratis-Leitfaden, wie Sie mit der neuen Anmeldemethode Ihre digitalen Zugänge wirksam vor Diebstahl schützen. Kostenlosen PDF-Report zu Passkeys jetzt anfordern
Um das Risiko einer Kompromittierung zu senken, empfehlen Experten, WLAN-Verbindungen in Hotels und an öffentlichen Orten grundsätzlich als unsicher zu betrachten. Reisende sollten konsequent VPN-Dienste nutzen und auf die Verwendung von Passkeys umsteigen. Administratoren in Unternehmen wird geraten, den Device-Code-Flow in den Mandanteneinstellungen zu blockieren, sofern dieser nicht zwingend für den Geschäftsbetrieb erforderlich ist, um diesen spezifischen Angriffsvektor zu schließen.
