Microsoft hat vor einer Cyberkampagne gewarnt, die das Unternehmen CaptiveCrunch genannt hat. Sie nutzt Wi-Fi-Netzwerke mit Anmeldeportalen in Hotels, Konferenzzentren und anderen Einrichtungen des Gastgewerbes, um den Datenverkehr der Nutzer zu manipulieren und sie anschließend zu einer von den Angreifern kontrollierten Infrastruktur umzuleiten, mit dem Ziel, Malware zu verbreiten und Zugangsdaten zu stehlen.
Die Kampagne steht laut einer Bewertung von Microsoft Threat Intelligence mit Storm-2945 in Verbindung, einer operativen Untergruppe des russischen Bedrohungsakteurs Midnight Blizzard. Microsoft beobachtet die Aktivitäten seit Anfang Mai 2026 in mehreren Ländern. ReliaQuest wies darauf hin, dass einige Operationen auch gemeinsam genutzte Orte wie Konferenzzentren zum Ziel hatten, wobei möglicherweise Konten von Geschäftsreisenden im Fokus standen.
Manipulation von Netzwerken und Phishing über Microsoft-Dienste
Storm-2945 verwendet von der Gruppe kontrollierte Websites und Server, um den von den jeweiligen Captive Portals ausgehenden DNS- und HTTP-Datenverkehr umzuleiten. Den Nutzern können gefälschte Meldungen angezeigt werden, die angeblich ein Browser- oder Betriebssystemupdate oder ein Tool zur Netzwerkdiagnose betreffen, um sie zum Herunterladen und Ausführen einer Datei zu bewegen.
Microsoft beobachtete außerdem Domains, die Microsoft-Diensten ähneln und bei Adversary-in-the-Middle-Phishing-Angriffen eingesetzt werden, welche den Gerätecode-Authentifizierungsablauf in Microsoft Entra ID ausnutzen. In diesem Szenario bringt der Angreifer den Nutzer dazu, auf einer legitimen Microsoft-Anmeldeseite einen vom Angreifer erstellten Code einzugeben. Dadurch wird die Sitzung des Angreifers statt der Sitzung des Nutzers authentifiziert. Microsoft begann am 16. Juli, den Einsatz dieser Methode auf einigen CaptiveCrunch-Seiten zu beobachten.
Microsoft erklärte, dass Storm-2945 künstliche Intelligenz zur Unterstützung eines großen Teils der Operationen einsetzt. Zudem brachte Microsoft die Gruppe aufgrund technischer und operativer Überschneidungen mit Midnight Blizzard in Verbindung, darunter frühere Phishingkampagnen über Gerätecodes und OAuth, die Extraktion von E-Mails über Microsoft Graph sowie Social-Engineering-Methoden.
Malware mit umfangreichen Fähigkeiten
Zu den beobachteten Tools gehört CornFlake, ein in Go geschriebener Remote-Access-Trojaner für Windows. Das Programm kann Systeminformationen, Dateien, Tastatureingaben, Zugangsdaten und Sitzungstoken erfassen, Wechseldatenträger überwachen und eine Remote-Shell bereitstellen. Außerdem verfügt es über Funktionen zur Audio- und Videoüberwachung.
ChocoShell ist dagegen ein auf PowerShell basierender Information Stealer, der vollständig im Arbeitsspeicher ausgeführt wird. Er konzentriert sich auf Browser-Sitzungscookies, gespeicherte Passwörter, Single-Sign-on-Anmeldetoken für Microsoft 365 und Zugangsdaten für Wi-Fi-Netzwerke. Microsoft beobachtete außerdem ein Control Panel namens FruitStone, das zur Verwaltung infizierter Geräte, zum Erstellen von Payloads und zur Überprüfung gestohlener Daten verwendet wird.
Empfehlungen für Reisende und Organisationen
Microsoft empfiehlt, Hotel-, Konferenz-, Flughafen- und Gastnetzwerke als nicht vertrauenswürdig zu betrachten und nach Möglichkeit mobile Hotspots oder eSIM-Verbindungen sowie private Verbindungen zu bevorzugen. Nutzer sollten außerdem keine Updates, Zertifikate oder Sicherheitstools installieren, die über Captive Portals oder unerwartete Pop-up-Fenster angezeigt werden, und Updates über vertrauenswürdige Mechanismen des Betriebssystems überprüfen.
Auf Organisationsebene umfassen die Empfehlungen, Unternehmenszugangsdaten nicht auf Anmeldeseiten von Gastnetzwerken wiederzuverwenden, Passkeys, Multi-Faktor-Authentifizierung und Richtlinien für bedingten Zugriff einzusetzen sowie den Gerätecode-Ablauf nach Möglichkeit zu blockieren. Microsoft stellt außerdem Anleitungen zur Erkennung und Untersuchung über Microsoft Defender und Microsoft Sentinel bereit, darunter die Suche nach der Erstellung von Dateien nach Wi-Fi-Verbindungstests, Verbindungen zu mit Storm-2945 verbundener Infrastruktur sowie dem Vorhandensein einer CornFlake-Datei oder eines Windows-Dienstes mit dem Namen Cloud Sync Service.