CaptiveCrunch: 7 Millionen Phishing-Angriffe in vier Wochen

Die Kampagne „CaptiveCrunch“ nutzt WLAN-Lücken und Play-Protect-Schwächen. Spezialisierte Schadsoftware wie CornFlake und ChocoShell gefährden mobile Endgeräte in mehreren Branchen.

Innerhalb der letzten vier Wochen haben Sicherheitsexperten eine massive Zunahme von Cyberangriffen registriert, bei denen insgesamt 7 Millionen Phishing-Versuche verzeichnet wurden. Im Zentrum der als „CaptiveCrunch“ identifizierten Kampagne stehen kritische Schwachstellen im Sicherheitsmechanismus Google Play Protect sowie die gezielte Ausnutzung von WLAN-Verbindungen in sensiblen Umgebungen. Die Angriffe zielen primär auf mobile Endgeräte ab und betreffen strategisch wichtige Branchen.

Gezielte Kompromittierung in Hotels und Konferenzzentren

Hinter der Kampagne steht laut aktuellen Erkenntnissen die Gruppe Storm-2945, die als Unterabteilung der dem russischen Auslandsaufklärungsdienst SVR zugerechneten Akteure Midnight Blizzard agiert. Erste Aktivitäten der Kampagne lassen sich bis in den Mai 2026 zurückverfolgen. Die Angreifer konzentrieren sich dabei auf die Kompromittierung von WLAN-Gateways in Hotels und Konferenzzentren, um den Datenverkehr der Nutzer zu kontrollieren.

Durch die Manipulation von DNS- und HTTP-Anfragen leiten die Cyberkriminellen den Datenstrom um und setzen Techniken wie Adversary-in-the-Middle (AitM) sowie ClickFix ein. Seit dem 16. Juli wird zudem verstärkt auf das sogenannte Device-Code-Phishing gesetzt. Berichten zufolge zeigt Googles Sicherheitsdienst Play Protect deutliche Schwächen bei der Abwehr dieser spezifischen Angriffsmuster, was die Erfolgsquote der Kampagne massiv erhöht hat.

Einsatz spezialisierter Malware zur Überwachung und Datendiebstahl

Die im Rahmen von „CaptiveCrunch“ verteilte Schadsoftware ist hochgradig spezialisiert. Über die manipulierten WLAN-Netzwerke wird unter anderem die Malware CornFlake verbreitet. Dabei handelt es sich um einen in der Programmiersprache Go geschriebenen Remote-Access-Trojaner (Go-RAT), der den Angreifern weitreichende Befugnisse einräumt. CornFlake ermöglicht neben Keylogging auch die umfassende Audio- und Videoüberwachung der betroffenen Geräte.

Anzeige

Wer sich mit der zunehmenden Gefahr durch mobile Malware und Hacker-Angriffe befasst, sollte sein Android-Gerät gezielt absichern. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, um Ihr Smartphone effektiv vor Viren und Datendiebstahl zu schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Ergänzend dazu kommt mit ChocoShell ein PowerShell-basierter Infostealer zum Einsatz. Dieser ist darauf ausgelegt, sensible Informationen wie Cookies, SSO-Token und gespeicherte WLAN-Zugangsdaten zu entwenden. Die Kombination dieser Werkzeuge erlaubt es den Akteuren, dauerhaften Zugriff auf Unternehmensnetzwerke zu erlangen. Die Angriffe richten sich insbesondere gegen Organisationen aus den Sektoren Finanzwesen, Recht, Gesundheit, Energie und Einzelhandel.

Wachsender Einfluss künstlicher Intelligenz

Ein signifikanter Trend innerhalb der aktuellen Angriffswelle ist der Einsatz moderner Technologien zur Skalierung der Attacken. Branchenanalysen zufolge sind bereits 86 Prozent der registrierten Phishing-Angriffe KI-gestützt. Dies ermöglicht den Angreifern eine präzisere Personalisierung und eine höhere Geschwindigkeit bei der Durchführung der Kampagnen.

Parallel zu den Sicherheitsmängeln bei Play Protect wurden weitere Anpassungen im Google-Ökosystem bekannt. Mit der Version 26.28.33 der Google Play Services blockiert das Unternehmen nun NFC-Zahlungen auf importierten chinesischen Geräten, was den Druck auf Nutzer solcher Hardware erhöht.

Anzeige

Angesichts der Millionen gehackten Konten pro Quartal wird die herkömmliche Anmeldung per Passwort immer riskanter. Erfahren Sie in diesem kostenlosen Report, wie Sie die neue Passkey-Technologie nutzen, um Ihre Online-Konten bei Amazon, WhatsApp und Co. endlich sicher zu machen. Kostenlosen Passkey-Ratgeber jetzt herunterladen

Empfehlungen zur Absicherung von Unternehmensinfrastrukturen

Angesichts der massiven Angriffswelle und der genutzten Einfallstore haben Branchenvertreter wie Microsoft dringende Sicherheitsempfehlungen ausgesprochen. Experten raten dazu, die Nutzung öffentlicher WLAN-Netze konsequent zu vermeiden und stattdessen auf private Hotspots zurückzugreifen.

Darüber hinaus wird Unternehmen empfohlen, den sogenannten Device-Code-Flow innerhalb der Conditional-Access-Richtlinien zu deaktivieren, da dieser ein zentrales element der aktuellen Phishing-Methodik darstellt. Zur weiteren Härtung der Konten sollte eine Multi-Faktor-Authentisierung (MFA) auf Basis von Passkeys implementiert werden.

Während Sicherheitsdienstleister wie ReliaQuest die Aktivitäten bereits im Juli meldeten und zunächst der Gruppe APT28 zuordneten, verweist Microsoft auf Storm-2945 als verantwortliche Einheit. Dies unterstreicht die Komplexität der Attribution in diesem hochprofessionellen Angriffsszenario.