LONDON (IT BOLTWISE) – Microsoft beschreibt eine groß angelegte Cyber-Kampagne, die über kompromittierte WLAN-Zugangsportale gezielt Reisende in Hotels und Konferenzzentren angreift. Dabei leiten manipulierte DNS-Einstellungen Nutzer auf gefälschte Seiten um, auf denen vermeintliche Updates zum Download von Schadsoftware verleiten. Im Zentrum steht der Diebstahl von Microsoft-365-Tokens, darunter mittels Device-Code-Phishing, das ohne Kenntnis des Passworts Zugriff auf Konten ermöglicht. Für Unternehmen und Vielreisende lautet die zentrale Empfehlung, öffentliche WLANs zu meiden und den Device-Code-Flow systemseitig zu begrenzen.
Microsoft hat eine Cyber-Kampagne öffentlich gemacht, die offenbar genau dort ansetzt, wo Sicherheitsteams im Reisealltag oft nur eingeschränkt präsent sind: auf Hotel- und Veranstaltungsnetzwerken. Laut den Angaben des Unternehmens werden Reisende über manipulierte WLAN-Zugangsportale in sogenannte „Captive Portals“ gelockt, die normalerweise den Netzzugang regeln, nun aber als Umleitungs- und Infektionsschleuse dienen. Die Operation trägt den Namen „CaptiveCrunch“ und wird einem Umfeld zugeschrieben, das dem Akteur Midnight Blizzard zugeordnet wird.
Technisch beginnt der Angriff nicht beim Endgerät, sondern schon beim Netz-Zugang: Microsoft beschreibt, dass die Angreifer DNS-Manipulationen nutzen. Wer sich in ein öffentliches Hotelnetz einwählt und typischerweise in einem Browser eine Startseite oder eine Log-in-Seite erwartet, landet stattdessen auf gefälschten Internetseiten. Der Mechanismus ist dabei so gestaltet, dass der Nutzer nicht „ein böses Fenster“ sieht, sondern glaubt, der Vorgang sei Teil einer normalen Fehlerbehebung oder einer notwendigen Aktualisierung. Diese Vorgehensweise wird in der Quelle mit der ClickFix-Taktik in Verbindung gebracht: vermeintliche Fehlermeldungen und Update-Hinweise sollen den Download von Dateien auslösen.
Als Verteilungsmaske dienen dabei scheinbar legitime Update-Prozeduren. Microsoft nennt als Beispiele Bezeichnungen wie „winupdate“ oder „defender“, die in der Praxis als irreführende Labels in Captive-Portalen und Download-Prompts erscheinen können. Für die zeitliche Einordnung nennt Microsoft, dass erste Aktivitäten bereits im Februar 2026 sichtbar gewesen seien, die aktive Manipulation des Datenverkehrs jedoch seit Mai 2026 nachgewiesen wurde. In diesem Zeitraum zeigt sich, wie wichtig für Unternehmen das „Kontrollgefühl“ in der Perimetersicherheit ist: Die Nutzeroberfläche wirkt vertraut, während die Netzwerkumleitung die eigentliche Entscheidung über den Datenpfad fällt.
In der Kampagne werden nach Microsoft zwei Schadprogramme hervorgehoben: CornFlake und ChocoShell. CornFlake ist ein Remote Access Trojan (RAT), der in Go programmiert ist. Er soll Tastatureingaben protokollieren und Audio- sowie Videoüberwachungen am infizierten Gerät durchführen können; zudem blendet er ein gefälschtes Fortschrittsfenster ein, um die Aufmerksamkeit des Opfers zu dämpfen. ChocoShell wird als Infostealer beschrieben, der auf PowerShell-Basis ausgeführt und direkt im Arbeitsspeicher gestartet wird. Sein Fokus liegt auf dem Diebstahl von Anmeldedaten, Cookies und Single-Sign-On-Tokens (SSO) – insbesondere auf Microsoft-365-Tokens, um damit Zugang zu Unternehmensressourcen zu erlangen.
Besonders relevant für Identity- und Security-Teams ist die in der Quelle genannte Weiterentwicklung beim Token-Diebstahl: Device-Code-Phishing. Diese Technik sei seit August 2024 bekannt, in der Kampagne werde sie jedoch seit dem 16. Juli 2026 verstärkt eingesetzt. Das Muster wirkt auf den ersten Blick weniger „passwortlastig“ als klassische Phishingseiten: Nutzer werden aufgefordert, auf einer legitimen Microsoft-Website einen von den Angreifern generierten Code einzugeben. Wenn der Code korrekt eingegeben wird, erhalten die Angreifer direkten Zugriff auf das Konto, ohne das Passwort kennen zu müssen. Genau an dieser Stelle verschiebt sich das Risiko von der reinen Credential-Eingabe hin zur Missbrauchskette rund um Autorisierungsvorgänge.
Für die Abwehr ergeben sich daraus konkrete Prioritäten. Microsoft empfiehlt Reisenden dringend, öffentliche WLAN-Verbindungen in Hotels und an öffentlichen Orten nach Möglichkeit zu meiden und stattdessen eigene Mobilfunkdaten oder gesicherte VPN-Verbindungen zu nutzen. Bei Unternehmen rät die Quelle dazu, den Device-Code-Flow in ihren Systemen zu blockieren oder vollständig zu deaktivieren, um genau diese Angriffsfläche zu schließen. Das ist aus technischer Sicht konsequent, denn der Device-Code-Flow ist funktional dafür gebaut, Authentifizierung auch in Umgebungen mit eingeschränkter Geräteinteraktion zu ermöglichen; wird er aber unnötig breit angeboten, lässt sich er zu einem Ziel für Token-Umwege machen.
Ein weiterer Punkt, der in der Quelle indirekt mitschwingt, betrifft die Zuordnung und Relevanz für SOC-Prozesse: Berichte wurden zunächst unterschiedlich eingeordnet, bevor Microsoft die Angriffe Midnight Blizzard zuordnete und eine Korrektur gegenüber einer früheren Zuordnung vornahm. Für die operative Praxis heißt das, dass Detektion und Incident Response nicht nur auf einen einzelnen Malware-Namen oder ein einzelnes Indikatorartefakt setzen sollten. Vielmehr müssen Anwendungs- und Identitätsereignisse zusammenlaufen: Warnsignale rund um Captive-Portale, unerwartete Token- oder Session-Aktionen sowie auffällige Zugriffe nach Device-Code-Abläufen sollten gemeinsam betrachtet werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CaptiveCrunch: Microsoft warnt vor Hotel-WLAN-Angriffen und Token-Phishing" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CaptiveCrunch: Microsoft warnt vor Hotel-WLAN-Angriffen und Token-Phishing" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CaptiveCrunch: Microsoft warnt vor Hotel-WLAN-Angriffen und Token-Phishing« bei Google Deutschland suchen, bei Bing oder Google News!