Die Warnung wurde ursprünglich vom Cybersicherheitsunternehmen ReliaQuest herausgegeben, aber Microsoft hat die Analyse seitdem weitergeführt. Eine Angriffskampagne namens CaptiveCrunch nutzt das Vertrauen der Benutzer in das Hotel-WLAN aus und Konferenzzentren, um ihren Datenverkehr abzufangen.

Diese seit mindestens Anfang Mai aktive Kampagne ist das Werk der Storm-2945-Gruppe, einer Unterabteilung der Midnight Blizzard-Einheitbekannt für seine Verbindungen zum Kreml.

Wie schaffen es Angreifer, eine Verbindung abzufangen?

Die Angriffsmethode basiert auf der Manipulation von DNS-Einstellungen und HTTP-Verkehr von Netzwerkgeräten, die die Captive-Portale verwalten. Durch Ändern dieser Einstellungen können Angreifer Benutzer auf Phishing-Seiten umleiten, die Microsoft 365-Anmeldeportale nachahmen.

Die Untersuchung konnte den genauen ursprünglichen Infektionsvektor nicht ermitteln, Microsoft weist jedoch auf Mängel in der gemeinsam genutzten Infrastruktur und nicht auf isolierte Geräte hin.

Sobald die Kontrolle hergestellt ist, haben Angreifer mehrere Möglichkeiten, ihre Opfer in die Falle zu locken. Die erste besteht in der Umleitung auf gefälschte „Doppelgänger“-Domains, um Anmeldeinformationen direkt zu stehlen.

Eine weitere Technik, die seit Juli beobachtet wird, missbraucht den Microsoft Entra ID-Authentifizierungsfluss über Gerätecode-Phishing-Seiten. Dieser Ansatz ermöglicht es Angreifern, in die Arbeitskonten von Mitarbeitern einzudringen, ohne dass dazu eine Phishing-E-Mail gesendet werden muss.

Neue bösartige Tools, die in der Kampagne verwendet werden

Die Kampagne setzt neue, von Microsoft identifizierte Malware ein: CornFlake und ChocoShell.

Opfer werden dazu verleitet, sie über gefälschte Browser- oder Betriebssystem-Update-Seiten mit irreführenden Bestätigungsaufforderungen herunterzuladen. Die berühmte ClickFix-Methode. Die Seiten können als Windows-Dienstprogramm zur Treiberreparatur getarnt werden, um den Benutzer dazu zu verleiten, die schädlichen Anweisungen auszuführen.

CornFlake ist ein Remote-Access-Trojaner (RAT), der Tastatureingaben protokollieren, Microsoft 365-Sitzungscookies stehlen und Mikrofon und Webcam überwachen kann. ChocoShell ist ein In-Memory-Anmeldeinformationsdiebstahler, der sich auf das Sammeln von Azure AD-Cookies und -Tokens spezialisiert hat.

Misstrauen als Schutzgarantie

Angesichts dieser Bedrohung empfehlen Microsoft und ReliaQuest wenig überraschend ein erhöhtes Misstrauen gegenüber öffentlichen Wi-Fi-Netzwerken oder solchen, die Kunden zur Verfügung gestellt werden. Es empfiehlt sich, die Nutzung privater Mobilfunkdaten zu bevorzugen.

Experten betonen unter anderem auch, wie wichtig es sei, niemals Software-Updates oder Sicherheitstools herunterzuladen, die über Captive-Portale angeboten werden.