Wer im Urlaub oder auf Dienstreise im Hotel ins WLAN geht, vertraut oft darauf, dass es „einfach nur funktioniert“. Genau diese Annahme wird inzwischen zum Hebel: Laut Microsoft-Berichten wurde über kapertes Hotel-WLAN Gästen eine scheinbare Browser- oder Betriebssystemaktualisierung untergeschoben, um anschließend Hotel-WLAN Malware zu installieren. Die Kampagne soll unter anderem Remote-Zugriff ermöglichen und dabei sogar Webcam-Bilder, Mikrofonaudio und Tastatureingaben erfassen.
Die Angriffe laufen über einen typischen Mechanismus, der in vielen Gastumgebungen vorkommt: ein Captive Portal. Dadurch können Verbindungen im Zweifel umgeleitet werden—und genau dort beginnt das Problem. Nachfolgend erfahren Sie, wie die Manipulation funktioniert, welche Schadprogramme beteiligt sind und was Reisende konkret tun können.
Wie kapertes Hotel-WLAN falsche Updates ausliefert
Im Kern missbraucht der Angreifer die Kontrolle über das Netzwerk in der Nähe des „Gateways“—also über die Komponente, die eingehende Verbindungen in das Hotelnetz steuert. In den untersuchten Umgebungen diente dieses Gateway zugleich als DNS-Auflösung für eingeloggte Geräte.
Mit dieser administrativen Kontrolle können Angreifer DNS-Antworten fälschen. Das ist entscheidend, denn so lässt sich der Datenverkehr so umleiten, dass ein Laptop oder Smartphone nach dem Anschluss eine automatische Konnektivitätsprüfung auf eine falsche Browser- oder Update-Umgebung lenkt.
Ein weiteres Detail: Einige Webseiten verwenden Anweisungen, die Nutzer dazu bringen sollen, bestimmte Tools oder Eingaben selbst auszuführen—zum Beispiel über ein Terminal oder eine Windows-Hilfsfunktion. Wichtig: So eine Manipulation „infiziert“ das Endgerät nicht heimlich im Hintergrund. Der Angriff sieht offenbar weiterhin vor, dass das Ziel den schädlichen Payload herunterlädt oder ausführt.
Die involvierten Kampagnen: CaptiveCrunch und CornFlake
Die Operation wird in Berichten unter dem Namen CaptiveCrunch verfolgt. Microsoft ordnet die Aktivität dem Cluster Storm-2945 zu. Diese Zuordnung beschreibt Storm-2945 als operativ zusammenhängenden Teilbereich eines größeren Akteurs, der auch unter Midnight Blizzard bekannt ist—zudem verbunden mit APT29 und dem Alias Cozy Bear. Für den breiteren Akteur wird in Regierungsbewertungen Russland als Auftraggeberseite genannt (Foreign Intelligence Service).
Technisch setzt Microsoft auf das Schadprogramm CornFlake, eine in Go entwickelte Komponente, die als Remote Access Trojan (RAT) beschrieben wird. Nach der Ausführung soll CornFlake sich in typische Benutzerpfade kopieren und eine Dienstkomponente registrieren. Dabei werden außerdem Tarnmechanismen genutzt, um den Eindruck eines harmlosen Prozesses zu erzeugen—unter anderem durch gefälschte Fortschrittsfenster, die während der Einrichtung im Vordergrund stehen.
Welche Funktionen die Hotel-WLAN Malware mitbringt
Die Analyse beschreibt, dass CornFlake unter anderem folgende Fähigkeiten besitzen kann:
- Screenshot-Aufnahmen, offenbar angetriggert durch Inaktivitäts- oder Zeitlogik
- Clipboard-Diebstahl unter Berücksichtigung der aktiven Fensterüberschrift
- Diebstahl von Browserdaten wie Cookies und gespeicherte Passwörter, einschließlich Cookies, die durch Chrome-App-Bound-Verschlüsselung geschützt sein können
- Datenerfassung auf Wechseldatenträgern (z. B. externe Laufwerke)
- Remote Shell zur weiteren Steuerung
Ergänzend werden Persistenzmechanismen wie Registry Run-Einträge und geplante Aufgaben erwähnt. Außerdem soll ein „Watchdog“ dafür sorgen, dass bestehende Persistenz bei Entfernen wiederhergestellt wird. So erhöht sich die Hürde für Verteidiger, die Installation schnell vollständig zu bereinigen.
ChocoShell: In-Memory PowerShell für Token-Diebstahl
Neben CornFlake wird auch ChocoShell beschrieben. Dabei handelt es sich laut Bericht um einen In-Memory PowerShell Stealer. Ziel sind offenbar Zugriffstoken, die für Angriffe auf Cloud-Umgebungen relevant sind.
ChocoShell soll unter anderem Token-Informationen aus lokalen Cache-Dateien wie .tbres auslesen. Dazu gehören Zugriffs- und Refresh-Tokens aus Microsoft 365 und Azure Active Directory sowie Tokens aus dem Web Account Manager (WAM). Der Vorteil für Angreifer: Gelingt der Token-Diebstahl, können Sitzungen potenziell auch ohne klassische Browser-Cookies nachgestellt werden.
Von Redirect bis Zugriff: Der Microsoft Device-Code-Flow
Ein besonders brisanter Punkt betrifft das Timing und den Ablauf ab Mitte Juli. Laut Microsoft wurden einige CaptiveCrunch-Landingpages ab dem 16. Juli so umgeleitet, dass Gäste in einen Microsoft Device Code Authentication Flow gelangen.
Der entscheidende Angriffsschritt: Der Nutzer soll einen vom Angreifer bereitgestellten Code in einer legitimen Microsoft-Anmeldeseite eingeben. Wenn dies gelingt, kann dem Angreifer eine bereits als „MFA-bestanden“ geltende Sitzung zugutekommen—weil die Multi-Faktor-Authentifizierung im Rahmen des gefälschten Zustellwegs „erledigt“ wird, bevor der Angreifer den Zugriff übernimmt.
Microsoft empfiehlt deshalb, diesen Flow per Conditional Access zu blockieren, sofern er nicht für bestimmte Szenarien benötigt wird.
Warum die öffentlichen Berichte die Reichweite offen lassen
In den vorliegenden Dokumentationen werden die Mechanismen und das konkrete Vorgehen beschrieben. Allerdings nennen die Berichte keine belastbaren Kennzahlen zur realen „Conversion“—also wie oft eine Weiterleitung tatsächlich in eine erfolgreiche Kompromittierung mündete.
Ohne Daten zu erfolgreichen Ausführungen, genehmigten Gerätecodes oder gestohlenen Konten bleibt unklar, wie viele Nutzer im Alltag betroffen waren. Microsoft nennt zudem keine konkret betroffenen Hotels oder Anbieter, und auch ReliaQuest nennt keine konkreten Venue- oder Captive-Portal-Werkzeuge.
ReliaQuest- und Microsoft-Empfehlungen für Reisende
Angesichts der beschriebenen Manipulation setzt ein Teil der Empfehlungen auf eine robuste Netzwerkabsicherung. ReliaQuest empfiehlt dabei einen stets aktiven, vollständigen VPN-Tunnel („always-on, full-tunnel“).
Die Idee: DNS-Anfragen sollen über unternehmensinterne Resolver laufen, bevor das Hotelgateway überhaupt gefälschte Antworten liefern kann. So sinkt die Wahrscheinlichkeit, dass die automatische Weiterleitung auf einen Angriffsserver springt.
Zusätzlich raten die Untersucher zu einem vorsichtigen Umgang mit Captive Portals:
- Nutzen Sie nach Möglichkeit private Verbindungen statt Hotel-Öffentlichkeit
- Lehnen Sie Software-Updates ab, die über Captive Portals angeboten werden
- Klicken Sie keine Browser-Updates oder „Troubleshooting“-Werkzeuge an, wenn sie nur im Portal erscheinen
- Akzeptieren Sie keine Zertifikats- oder Sicherheitsaufforderungen, die Ihnen im Portal begegnen
Ganz wichtig ist der praktische Grundsatz: Wenn das Update oder der Sicherheitsdienst genau dort „angeboten“ wird, wo Sie eigentlich nur ins Internet möchten, ist Skepsis angebracht.
Wie der Erstzugriff womöglich erfolgt
Der genaue Einstiegspunkt bleibt nach den Berichten weiterhin Gegenstand von Untersuchungen. ReliaQuest bewertet mit geringer bis mittlerer Sicherheit, dass eine Kombination aus exponierten Management-Schnittstellen und schwachen oder wiederverwendeten Administratoranmeldedaten den Zugang ermöglicht haben könnte.
Eine vollständige Bestätigung sei jedoch aufgrund von Sichtbarkeitsbeschränkungen nicht möglich gewesen. Außerdem weisen Berichte darauf hin, dass es in mehreren Netzwerken gemeinsame Geräte oder Managementsysteme gegeben haben könnte. Das könnte bedeuten, dass Angriffe nicht zwingend auf einzelne Locations begrenzt waren, sondern auch über gemeinsame Infrastrukturbausteine skaliert wurden.
Was Sie als Organisation vorbereiten können
Auch wenn Reisende im Vordergrund stehen, sollten Unternehmen die Rahmenbedingungen verbessern, damit selbst bei einem erfolgreichen Redirect kein legitimes Authentifizierungsziel ausgenutzt werden kann. Microsofts Empfehlung, den Device-Code-Flow per Conditional Access einzuschränken, ist dafür ein konkreter Ansatz.
Darüber hinaus hilft ein generischer Sicherheitsstandard: DNS und Zugriffe sollten so gestaltet sein, dass „lokale“ Gateways im Gastnetz nicht bestimmen, wohin Geräte im Hintergrund umgeleitet werden. Für mobile Workloads und Dienstreisen bedeutet das: VPN-Policy, sichere DNS-Konfiguration und harte Authentifizierungsregeln müssen zusammenpassen.
Fazit: Hotel-WLAN Malware zielt auf Umleitung und Vertrauenssignale
Die beschriebenen Vorfälle zeigen, wie wirkungsvoll Social-Engineering in Kombination mit Netzwerk-Manipulation sein kann. Hotel-WLAN Malware wird dabei nicht nur als Datei im Anhang betrachtet, sondern als Prozesskette aus DNS-Fälschung, gefälschten Update-Seiten und gezielter Weiterleitung bis in Authentifizierungsabläufe.
Wenn Sie auf Reisen unterwegs sind, schützen Sie sich am besten durch private Verbindungen oder einen konsequenten Full-Tunnel-VPN, indem Sie Portalseiten skeptisch prüfen und keine „Updates“ akzeptieren. Für Unternehmen gilt: Conditional Access und klare Authentifizierungspolicies sollten so konfiguriert werden, dass Angriffswege nicht in legitime Freigaben umschlagen.
Quelle: https://thehackernews.com/2026/08/hijacked-hotel-wi-fi-pushes-fake.html
