LONDON (IT BOLTWISE) – Eine KI-gestützte Sicherheitsanalyse zeigt, wie eine russisch zugeordnete Hackergruppe mit Hotel- und Konferenz-WLANs Zugangsdaten für Microsoft-365-Konten abgreift. Die Angreifer setzen dabei auf manipulierte Captive-Login-Seiten, die den Microsoft-365-Anmeldeprozess täuschend nachbilden. Laut Microsoft läuft die Kampagne unter Storm-2945 und beruht zusätzlich auf OAuth- und Device-Code-Phishing. Unternehmen sollten besonders öffentliche WLANs strikt absichern und phishing-resistente Authentifizierung einplanen.
Beim nächsten Geschäftsaufenthalt kann ausgerechnet das vermeintlich harmlose Hotel-WLAN zum Einstiegspunkt werden: Laut einer Sicherheitsmitteilung von Microsoft kompromittiert eine russisch zugeordnete Hackergruppe Netzwerke in Hotels und Konferenzzentren, um Nutzer beim Internetzugang über betrügerische Login-Seiten abzufischen. Die Kampagne trägt den Namen „CaptiveCrunch“ und zielt auf Zugangsdaten von Microsoft-365-Konten ab. In einem Sicherheitsupdate vom 3. August ordnete der Konzern die Aktivitäten einer Untergruppe des russischen Akteurs Midnight Blizzard zu, die intern als Storm-2945 verfolgt wird. Für Unternehmen heißt das vor allem eins: Die Angriffsoberfläche entsteht nicht im Unternehmen, sondern am Rand des Netzwerks – dort, wo viele Mitarbeitende auf Reise sind.
Technisch wird die Masche über sogenannte Captive Portale umgesetzt. Das sind Anmeldeseiten, die in Hotels oder auf Messen typischerweise erscheinen und den WLAN-Zugang erst nach Bestätigung freischalten. In der aktuellen Kampagne manipulieren die Angreifer laut der Analyse DNS- und HTTP-Einstellungen so, dass Gäste auf gefälschte Anmeldeseiten umgeleitet werden. Diese Seiten sehen dem Microsoft-Login täuschend ähnlich aus und sammeln, sobald Nutzer ihre Credentials eingeben, direkt die Zugangsdaten ein. Dass die Umleitung in der Praxis funktioniert, hängt an der Alltagssituation der Reisenden: Wer „nur kurz“ online gehen will, folgt der Captive-Seite oft ohne Misstrauen. Erste Hinweise auf manipulierte DNS-Einstellungen hatte bereits ein Sicherheitsunternehmen am 23. Juli gemeldet, zunächst mit Vermutungen über eine Beteiligung der Gruppe APT28; Microsofts neuere Auswertung verknüpft das Vorgehen jedoch mit einem APT29-Untercluster.
Bemerkenswert ist außerdem der Zeitplan und die Weiterentwicklung der Taktiken. Die Kampagne soll bereits im Februar 2026 mit Phishing-Angriffen sowie OAuth-basierten Techniken gestartet sein. Seit Mai 2026 verlagerten die Angreifer den Schwerpunkt auf die direkte Manipulation des Netzwerkverkehrs – also auf den Weg über die Reiseumgebung statt über klassische Posteingangs- oder Link-Angriffe. Am 31. Juli ordnete Microsoft die Taktiken offiziell der Gruppe Storm-2945 zu. Aus Sicht der Verteidigung ist genau dieser Strategiewechsel relevant, weil viele Organisationen ihre Abwehr stark an E-Mail- und Browser-Signalen ausrichten, während Captive-Portal-Angriffe im Regelfall am Verhalten im lokalen WLAN ansetzen. Das macht die Detection schwieriger: Eine erfolgreiche Umleitung kann wie „normaler“ Captive-Login wirken und Sicherheitsprodukte reagieren erst, wenn später im Konto selbst Auffälligkeiten auftreten.
Zusätzlich zum Diebstahl von Zugangsdaten fungiert „CaptiveCrunch“ offenbar auch als Verteilerweg für Schadsoftware. Microsoft beschreibt dazu eine Social-Engineering-Variante namens „ClickFix“: Nutzer werden aufgefordert, vermeintlich dringende Software-Updates zu installieren, um angebliche Verbindungsprobleme zu beheben. Die dabei getarnten Dateien enthalten laut Analyse gleich zwei Schadprogramme: CornFlake, einen in Go programmierten Remote-Access-Trojaner, der den Angreifern dauerhaften Zugriff ermöglicht, sowie ChocoShell, einen auf PowerShell basierenden Infostealer, der sensible Daten aus dem System abzieht. Betroffen sein sollen sowohl Windows- als auch Android-Geräte: Bei Letzteren erfolgt die Infektion über manipulierte APK-Dateien, die als „System-Scans“ oder Browser-Updates getarnt sind. Das bedeutet für IT-Teams, dass der klassische Fokus auf Browser-Härtung und Mail-Gateways nicht ausreicht, wenn die Nutzerinteraktion direkt in der Captive-Situation landet.
Besonders kritisch ist, dass die Angreifer auch Multi-Faktor-Authentifizierung umgehen können. In der Beschreibung wird dafür „Device-Code-Phishing“ genannt: Seit dem 16. Juli setzen die Angreifer demnach auf gefälschte Websites, auf denen Nutzer einen Code eingeben sollen. Damit autorisieren sie unwissentlich die Sitzung der Angreifer auf ihrem eigenen Gerät – selbst wenn ein zweiter Faktor aktiv ist. Selbst Unternehmen mit aktiviertem Multi-Faktor-Schutz seien laut Microsoft verwundbar, sofern sie nicht auf phishing-resistente Verfahren wie Passkeys setzen oder den Device-Code-Flow vollständig deaktiviert haben. Genau hier wird deutlich, warum der Übergang zu passwortloser Authentifizierung inzwischen nicht mehr nur ein Komfortthema ist: Passwörter und einfache Bestätigungscodes können in Szenarien mit übernommenen Sitzungen an Wirksamkeit verlieren. Für Security-Teams ergibt sich daraus eine klare Priorisierung bei der Authentifizierungs-Strategie, nicht nur bei der Basishärtung von Endgeräten.
Welche Branchen und Regionen betroffen sind, bleibt in der Meldung nicht auf ein Nischenziel beschränkt. Kompromittierte Netzwerke und gezielte Angriffe wurden demnach in den USA, in Indien und in Saudi-Arabien identifiziert, während Microsoft insbesondere hochwertige Unternehmensziele aus dem Bereich Finanzdienstleistungen und Beratung, Gesundheitswesen sowie Rechtsdienstleistungen, außerdem Energie und Einzelhandel nennt. Für die Praxis ist die Botschaft trotzdem ähnlich: Hotel- und öffentliche WLANs sollten grundsätzlich als unsicher behandelt werden, weil die Angriffslogik außerhalb des Unternehmens stattfindet. Microsoft und das Sicherheitsunternehmen ReliaQuest empfehlen deshalb unter anderem, mobile Hotspots zu bevorzugen, VPN-Verbindungen aufzubauen und auf phishing-resistente Authentifizierungsmethoden zu setzen. Administrativen wird zudem nahegelegt, den Device-Code-Flow in ihren Unternehmensumgebungen zu deaktivieren, um das Risiko dieser konkreten Phishing-Technik zu senken.
Für IT-Leiter und Security-Verantwortliche liegt der operative Hebel weniger in „Einmalmaßnahmen“ als in konsistenten Leitplanken. Wo viele Mitarbeitende reisen, sollten Policies zur WLAN-Nutzung, zur Nutzung von VPN und zur Deaktivierung riskanter Authentifizierungs-Flows so schnell wie möglich in die Breite gebracht werden. Ebenso wichtig ist das Monitoring auf Konto-Ebene: Wenn die Credentials einmal abgegriffen sind, entscheidet oft die zeitliche Korrelation aus verdächtigen Logins, ungewöhnlichen Gerätewechseln und Post-Login-Aktivität über die Schadensausdehnung. Gleichzeitig lohnt es sich, die Anwenderkommunikation zu überarbeiten: Captive Portale und „dringende Updates“ sind zu alltäglich, um als Angriff erkennbar zu sein. Wer hier trainiert, worauf man in der Captive-Situation achtet, verbessert die Resilienz gegen genau solche Kombinationen aus Umleitung, Credential-Phishing und nachgelagertem Payload-Start.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Captive-Portal-Angriff: Russisches Team stiehlt Microsoft-365-Zugangsdaten über Hotel-WLAN" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Captive-Portal-Angriff: Russisches Team stiehlt Microsoft-365-Zugangsdaten über Hotel-WLAN" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Captive-Portal-Angriff: Russisches Team stiehlt Microsoft-365-Zugangsdaten über Hotel-WLAN« bei Google Deutschland suchen, bei Bing oder Google News!