Immer mehr Unternehmen sehen sich mit Angriffswegen konfrontiert, die nicht direkt aus dem eigenen Netzwerk starten. Bei der aktuellen Meldung von Microsoft steht vielmehr ein typischer „Zwischenstopp“ im Fokus: öffentliches WLAN, vermittelt über sogenannte Captive Portals. Dahinter soll die CaptiveCrunch APT-Kampagne stecken, die über manipulierte DNS- und HTTP-Verbindungen Zugangsdaten und Sitzungsinformationen abgreift.
Was das Ganze besonders riskant macht: Die Täter zielen auf Mitarbeitende, die unterwegs sind, und versuchen deren Authentifizierung so erscheinen zu lassen, als käme sie von legitimen Login-Seiten. In der Folge drohen nicht nur Kontoübernahmen, sondern auch weitergehender Zugriff auf Unternehmensressourcen.
Wie CaptiveCrunch APT in Gastnetzwerke eindringt
Die Kampagne wurde laut Berichten etwa eine Woche vor der Microsoft-Mitteilung von ReliaQuest aufgezeichnet. ReliaQuest beobachtete dabei, dass Angreifer die DNS-Konfiguration kompromittierter Router im SOHO-Umfeld (Small Office/Home Office) verändert hatten. Das Ziel: Nutzer sollten beim Aufruf des Captive-Portals auf Infrastruktur geleitet werden, die von den Angreifern kontrolliert wird.
Dieser Ansatz nutzt zudem eine Man-in-the-Middle-Strategie (AitM). Dadurch können Verbindungen und Inhalte zwischen Client und Zielumgebung abgefangen bzw. beeinflusst werden. Der Bericht nennt ausdrücklich, dass sich so vor allem die Microsoft 365 Credentials reisender Beschäftigter aus dem Finanz-, Dienstleistungs-, Rechts-, Gesundheits-, Energie- und Retail-Umfeld abgreifen ließen.
Zugriff über Microsoft 365: Was abgegriffen wird
Microsoft beschreibt, dass die Täter die Authentifizierung im Kontext des unterwegs genutzten Netzes ausnutzen. Im Kern geht es um das Abfangen von Anmeldedaten sowie das Übernehmen von Sitzungen. Ergänzend wird genannt, dass Angreifer Session Token und weitere Identitäts- bzw. Authentifizierungsinformationen stehlen können.
Damit allein ist es jedoch nicht getan: Die Gruppe stellt laut den Angaben schädliche Software bereit, die anschließend für zusätzliche Späh- und Zugriffsschritte genutzt werden kann. Dazu zählen Aufklärung, Credential Theft, das Einsammeln von Datei- und Tastaturinformationen sowie Überwachungsfunktionen über Audio und Video. Außerdem ist der Einsatz von Remote-Shell-Funktionen Teil der beschriebenen Fähigkeiten.
Wer steckt dahinter? Verknüpfung und Zuordnung nach Microsoft
ReliaQuest stellte zunächst Ähnlichkeiten zu einer russisch verorteten Spionageoperation fest, die mit APT28 in Verbindung gebracht wird. Microsoft äußert sich im Anschluss konkreter: Demnach soll die Kampagne von Storm-2945 stammen, einem Subgruppenteil von Midnight Blizzard. Diese Gruppe wird auch unter mehreren Namen geführt, darunter APT29, Cozy Bear, „The Dukes“ und Yttrium.
Microsoft ordnet Storm-2945 einer Unterstützung durch den russischen Auslandsnachrichtendienst SVR zu. Gleichzeitig ist die Ausrichtung historisch eher auf das Sammeln von Informationen gerichtet – etwa bei Behörden, diplomatischen Einrichtungen, NGOs sowie IT-Dienstleistern in den USA und Europa.
Midnight Blizzard ist laut Microsoft dafür bekannt, bei ausgewählten Zielen auch gültige Konten zu missbrauchen und in einzelnen Fällen anspruchsvollere Methoden einzusetzen, um Authentifizierungsmechanismen zu umgehen oder erweitertem Zugriff Vorschub zu leisten.
Captive Portals als Angriffsbühne
Storm-2945 soll die Manipulation von DNS und HTTP-Verkehr seit Mai betrieben haben. Als typische Einsatzorte nennt der Bericht Captive-Portals, wie sie beispielsweise in Hotels, Konferenzzentren und anderen gemeinsam genutzten Bereichen vorkommen.
Microsoft vermutet, dass die Angreifer dabei über den Zugang zu gemeinsamen Diensten innerhalb des Captive-Portal-Ökosystems arbeiteten. Das bedeutet: Selbst wenn einzelne Organisationen über solide Unternehmensfirewalls verfügen, kann die erste „Abzweigung“ beim Hotel-WLAN oder beim Messezugang liegen.
Malware-Verteilung: Browser-Updates und ClickFix
Im Rahmen der „CaptiveCrunch“ genannten Kampagne sollen Angreifer schädliche Programme ausliefern. Microsoft beschreibt, dass dabei Windows-RATs (Remote Access Trojans) verwendet werden, konkret als Golang-basierte Varianten, die als „Browser Updates“ getarnt sein können.
Für die Nutzeransprache werden außerdem ClickFix-Techniken erwähnt. Solche Ansätze sollen die Wahrscheinlichkeit erhöhen, dass Betroffene auf eine angebotene Datei oder einen Download reagieren. Ergänzend heißt es, dass sich die Taktik auch gegen Android-Nutzer richten kann, wobei die Angreifer dazu verleiten, eine APK-Datei zu holen und zu installieren.
Auf Zielsystemen kommen dabei verschiedene Komponenten zum Einsatz, die Microsoft namentlich nennt: für Windows etwa CornFlake RAT und ein Infostealer-Implant, sowie der ChocoShell-Infostealer auf Basis von PowerShell. Zur Steuerung der Infrastruktur und Agenten wird ein webbasiertes FruitStone-Kommando-und-Kontroll-Panel genannt.
Device-Code-Phishing über Captive Portals
Besonders aufmerksamkeitsstark ist die jüngere Beobachtung aus den letzten zwei Wochen. Laut Microsoft wurden einige Landing Pages so angepasst, dass sie Opfer auf einen Device-Code-Authentifizierungsfluss umleiten. Der Ablauf: Nutzer sollen einen Code in eine Microsoft-Anmeldeseite eingeben, um die Sitzung zu autorisieren – mit dem Ergebnis, dass Angreifer die Session übernehmen.
Microsoft betont, dass dieses Verhalten zu zuvor gemeldeten Device-Code-Phishing-Operationen von Midnight Blizzard passt, die seit August 2024 beobachtet wurden. Neu ist laut Einschätzung nicht das Grundprinzip, sondern die Kombination: Durch das Einbinden in Captive-Portal-Szenarien und die gleichzeitige Manipulation von Traffic könnte die Bitte um Authentifizierung für Betroffene plausibler wirken.
Damit steigt die Chance, dass Nutzer die Aufforderung nicht als Angriff erkennen, sondern als legitime Anmeldeabsicht interpretieren.
Warum das für Unternehmen relevant ist
Die Meldung macht deutlich, wie sehr Angreifer heute „den Weg“ zum Netzwerk ausnutzen. Wenn Mitarbeitende unterwegs im Hotel, auf einer Messe oder im Konferenzzentrum eine Verbindung herstellen, entsteht ein externer Einstiegspunkt außerhalb der gewohnten IT-Kontrolle.
Für Organisationen ist das vor allem im Hinblick auf Reise- und Außendienstlogistik wichtig: Identitätsmissbrauch trifft nicht nur die IT, sondern kann direkt zu Datenabfluss und Eskalationen führen. Gerade weil es um Microsoft 365-Zugangsdaten und Sitzungen geht, kann ein kompromittiertes Konto schnell neue Zugriffsrechte eröffnen.
Praktische Aufmerksamkeitspunkte
Auch wenn der Bericht keine konkrete Checkliste für Gegenmaßnahmen liefert, lassen sich aus dem beschriebenen Angriffsmuster klare Schwerpunkte ableiten:
- Achten Sie bei öffentlichen WLANs besonders auf Anmeldeaufforderungen, die im Captive-Portal-Kontext unerwartet wirken.
- Schulen Sie reisende Mitarbeitende: Authentifizierungsflows, die auf Codesingaben hinauslaufen, sollten mit den offiziellen Prozessen abgeglichen werden.
- Monitoring erweitern: Erkennen Sie ungewöhnliche Anmeldeversuche und auffällige Session-Aktivitäten, insbesondere im Zusammenhang mit externen Standorten.
- Endpunktschutz konsequent nutzen: Da RATs und Infostealer nach einem getarnten „Update“ oder einer Dateidownload-Aufforderung eingesetzt werden, sollten EDR/AV-Regeln aktuell sein.
Indem Sie Captive-Portals und öffentliche Netze stärker in Ihre Sicherheitsprozesse einbeziehen, reduzieren Sie die Angriffsfläche entlang der Reise-User-Journey.
Fazit
Die CaptiveCrunch APT zeigt, wie Cyberangriffe heute an alltäglichen Situationen andocken: kompromittierte WLAN-Gastportale, manipulierte DNS-/HTTP-Verbindungen und täuschend wirkende Authentifizierungsaufforderungen. Besonders kritisch ist die Kombination aus AitM-Techniken und dem beschriebenen Device-Code-Phishing, das die Validierung einer Session in den Vordergrund stellt.
Für Unternehmen bedeutet das: Sicherheit endet nicht an der Unternehmensgrenze. Wer Authentifizierung, Endpunktschutz und die Reiseumgebungen seiner Mitarbeitenden gemeinsam betrachtet, kann das Risiko solcher Kampagnen deutlich senken.
Quelle: https://www.securityweek.com/russian-state-apt-linked-to-recent-public-wi-fi-gateway-hacking/
