Microsoft warnt: Russische Hacker phishen über Airport- & Hotel-WLAN

Wer ein öffentliches WLAN nutzt, muss nach Angaben von Microsoft fürchten, dass staatlich beauftragte Angreifer aus Russland versu­chen, Zugangsdaten zu Microsoft-365-Diensten durch sogenannte Clickfix-Attacken abzugreifen. Ziel ist offenbar Wirtschaftsspionage.

Staatsnahe russische Hacker seit Mai aktiv

Microsoft warnt vor einer neuen Angriffskampagne mit der Bezeichnung "CaptiveCrunch", bei der seit mindestens Anfang Mai versucht wird, die öffentlich zugänglichen Wi-Fi-Netze von Flughäfen, Hotels oder Konferenzzentren zu kompromittieren, um sie für die Verteilung von Phishing-Malware zu missbrauchen.

Dahinter steckt mit "Storm-2945" angeblich eine Untergruppe der Hacker-Gruppierung "Midnight Blizzard", die auch unter den Namen "Cozy Bear", "APT29" oder "Nobelium" bekannt ist und dem russischen Auslandsgeheimdienst SVR zugeordnet wird.

Öffentliche WLAN-Hotspots als Malware-Schleuder

Bei der "CaptiveCrunch"-Kampagne versuchen die Angreifer die Anmeldungs- oder Login-Seiten von Flughafen-, Hotel- und Konferenz-WLAN-Netzen zu kapern. Sobald die für die Auslieferung dieser sogenannten Captive-Portals zuständige Hardware geknackt ist, leiten die Angreifer Anfragen per DNS oder HTTP über eigene Infrastruktur um.

Die Opfer der Attacke landen dann zum Beispiel auf Phishing-Seiten, die einer Login-Seite von Microsoft 365 nachempfunden sind. Eine Variante nutzt die Gerätecode-Authentifizierung: Der Angreifer startet eine Anmeldesitzung und verleitet das Opfer anschließend dazu, einen vom Angreifer bereitgestellten Code auf einer echten Microsoft-Seite einzugeben. Der Nutzer autorisiert so unwissentlich die Sitzung des Angreifers und umgeht dadurch möglicherweise die Zwei-Faktor-Authentifizierung, ohne dass der Hacker ein Passwort oder einen Einmalcode stehlen muss.

Fake-Meldungen sollen zu Malware-Downloads verleiten

Teilweise wird auch versucht, den Opfern gefälschte Benachrichtigungen des Browsers oder von Windows Update, Windows Defender, DirectX oder der Netzwerkreparatur unterzuschieben, um sie zum Download von Malware zu bewegen.


Hat sich der Nutzer auf diesem Weg Schadsoftware installiert, versuchen die Angreifer mit verschiedenen Methoden Browser-Passwörter, Login-Daten, Mikrofonaufnahmen, Tastatureingaben, Webcambilder oder gleich Dateien zu stehlen, heißt es.

Teilweise sollen im Rahmen der Kampagne neben Windows-basierten Rechnern auch Android-Smartphones angegriffen werden. Bisher ist noch offen, wie es den russischen Hackern gelungen ist, die Captive-Portal-Systeme der in Hotels und Konferenzzentren angebotenen WLAN-Zugänge zu knacken.

Denkbar wäre unter anderem, dass ein übergeordneter Dienstleister attackiert wurde, statt einzelne Hotels oder andere Einrichtungen direkt anzugreifen. Microsoft rät nun dringend davon ab, öffentliche WLAN-Zugangspunkte an Flughäfen, in Hotels oder von Konferenzzentren zu nutzen, wenn man mit vertraulichen Daten hantiert. Ein über das eigene Smartphone eingerichteter privater Hotspot sei ebenso zu empfehlen wie eine dauerhafte VPN-Verbindung.

Grundsätzlich sollten die Anwender keinerlei Dateien, Updates, Zertifikate oder sonstige Downloads akzeptieren, die ihnen beim Aufruf eines Anmeldungs- bzw. Captive-Portals in öffentlichen WLAN-Netzen angeboten werden.


Siehe auch: