CaptiveCrunch: Russische Hacker greifen Hotel-WLANs an

Microsoft warnt vor gezielten Angriffen auf Hotel-WLANs durch russische Hacker. Die Kampagne nutzt manipulierte Netzwerke und umgeht Zwei-Faktor-Authentifizierung.

Microsoft-Sicherheitsexperten haben eine globale Spionagekampagne aufgedeckt, die sich gezielt gegen Hotel- und Konferenz-WLAN-Netzwerke richtet. Dahinter steckt offenbar die berüchtigte russische Hackergruppe Midnight Blizzard.

Seit Anfang Mai 2026 sind Angreifer in den USA, Indien und Saudi-Arabien aktiv – mit einem klaren Fokus auf Geschäftsreisende. Die Kampagne mit dem Namen CaptiveCrunch zielt vor allem auf Beschäftigte aus Finanzdienstleistung, Rechtswesen, Gesundheitsbranche, Energiewirtschaft und Einzelhandel ab. Für deutsche Unternehmen ist die Bedrohung besonders relevant: Wer auf Geschäftsreise in Hotel-WLANs einloggt, könnte unwissentlich Daten preisgeben.

Manipulierte Netzwerke als Einfallstor

Die Angreifer übernehmen die Kontrolle über die Administrationsoberflächen von WLAN-Zugangsportalen oder kompromittieren Router. Anschließend verändern sie die DNS-Konfiguration: Wer sich einloggen oder im Netz surfen möchte, wird auf betrügerische Server umgeleitet. Dort warten gefälschte Microsoft-365-Anmeldeseiten oder fingierte Software-Update-Aufforderungen – eine Methode, die als ClickFix bekannt ist.

Zwei Schadprogramme kommen dabei zum Einsatz: CornFlake, ein Trojaner, der Bildschirmaufnahmen, Tastatureingaben sowie Webcam- und Mikrofonzugriff ermöglicht. Und ChocoShell, ein Datendieb, der Browser-Zugangsdaten abgreift. Beide kommunizieren mit einer Kommandozentrale namens FruitStone.

Anzeige

Rekord-Schäden durch Phishing und manipulierte Zugänge zeigen, warum immer mehr Unternehmen jetzt auf gezielte Awareness-Kampagnen setzen. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Sie Ihre Belegschaft sensibilisieren und die Hacker-Abwehr effektiv stärken können. Kostenlosen Anti-Phishing-Ratgeber herunterladen

Neue Methode umgeht Zwei-Faktor-Authentifizierung

Seit dem 16. Juli beobachten Experten eine deutliche Verschärfung der Taktik: Die Hacker nutzen den Microsoft-Device-Code-Authentifizierungsfluss, um die Zwei-Faktor-Authentifizierung (MFA) zu umgehen. Nutzer werden auf eine Seite geführt, auf der sie einen Code eingeben sollen – ohne es zu ahnen, erteilen sie den Angreifern damit ein gültiges Sitzungstoken.

Zunächst hatten Sicherheitsforscher die Aktivitäten der Gruppe APT28 zugeschrieben. Microsoft hat jedoch klargestellt: Verantwortlich ist der Cluster Storm-2945, der zur Gruppe Midnight Blizzard gehört – auch bekannt als APT29 oder Cozy Bear. Dieselbe Gruppe steht hinter dem spektakulären SolarWinds-Angriff von 2020.

Schutzmaßnahmen für Unternehmen und Reisende

Die Sicherheitsforscher raten Unternehmen, grundsätzlich phishing-resistente MFA-Verfahren durchzusetzen und öffentliche WLAN-Netze als potenziell feindlich zu behandeln. Konkret empfehlen sie Geschäftsreisenden:

• Immer aktive VPN-Lösungen mit vollständigem Tunnel statt Hotel-WLAN
• Mobilfunk-Hotspots as sichere Alternative
• Deaktivierung der Device-Code-Authentifizierung, sofern betrieblich nicht erforderlich

Anzeige

Wer seine Mitarbeiter auch außerhalb der Büroräume vor Spionage und Datenverlust schützen möchte, findet in diesem Leitfaden die passenden Strategien. Sichern Sie Ihr Unternehmen gegen Risiken im mobilen Arbeiten mit praxiserprobten Vorlagen und Checklisten ab. Gratis E-Book für sicheres mobiles Arbeiten sichern

Zudem sollten Unternehmen ihre Anmelde-Logs auf unerwartete Authentifizierungsversuche prüfen, regelmäßige Firmware-Updates für Netzwerkgeräte einspielen und Zero-Trust-Netzwerkrichtlinien implementieren. Die Angreifer setzen nach Erkenntnissen von Microsoft offenbar auch künstliche Intelligenz ein – Details dazu bleiben allerdings vage.