LONDON (IT BOLTWISE) – Microsoft-Sicherheitsexperten warnen vor der Spionagekampagne „CaptiveCrunch“, die gezielt Hotel- und Konferenz-WLANs ins Visier nimmt. Seit Anfang Mai 2026 sollen Angreifer in den USA, Indien und Saudi-Arabien aktiv sein – mit Fokus auf Geschäftsreisende. Der Angriff beginnt oft mit manipulierten WLAN-Portalen oder kompromittierten Routern und endet bei gefälschten Anmeldeseiten. Besonders kritisch: Die Täter nutzen offenbar den Microsoft-Device-Code-Authentifizierungsfluss, um MFA zumindest in bestimmten Situationen zu umgehen.
Wenn Beschäftigte auf Dienstreise ins Hotel-WLAN einloggen, passiert selten mehr als „E-Mail checken“. Genau diese Routine macht die neue Kampagne „CaptiveCrunch“ angreifbar. Laut den Sicherheitshinweisen von Microsoft richtet sich die Aktion gezielt gegen Hotel- und Konferenz-WLANs; dabei sollen Angreifer offenbar vor allem Reisende mit beruflichem Fokus adressieren. Seit Anfang Mai 2026 werden die Aktivitäten der Meldung zufolge in den USA, Indien und Saudi-Arabien beobachtet, und die Zielbranchen reichen von Finanzdienstleistungen über Rechts- und Gesundheitswesen bis hin zu Energie und Einzelhandel.
Technisch betrachtet beginnt CaptiveCrunch nicht mit einem „klassischen“ Schadprogramm-Download, sondern mit der Kontrolle über den Zugangspunkt. Die Täter übernehmen entweder die Administrationsoberflächen von WLAN-Zugangsportalen oder kompromittieren Router, sodass sie die Nutzerspur umbiegen können. Danach verändern sie die DNS-Konfiguration: Wer sich einloggen oder im Netz surfen möchte, wird auf betrügerische Server umgeleitet. Dort warten gefälschte Microsoft-365-Anmeldeseiten oder fingierte Aufforderungen zum „Software-Update“ – ein Muster, das in der Praxis als ClickFix beschrieben wird.
Für die Wirkung sorgen laut den Microsoft-Beschreibungen zwei Schadprogramme mit klar getrennten Aufgaben. CornFlake fungiert als Trojaner und ermöglicht offenbar Bildschirmaufnahmen, Tastatureingaben sowie Zugriff auf Webcam und Mikrofon. ChocoShell hingegen sammelt offenbar Browser-Zugangsdaten ein, also Informationen, die Nutzer im Alltag selten bewusst schützen, weil sie im Browser-Ökosystem „bequem“ wirken. Beide Komponenten kommunizieren mit einer zentralen Kommandozentrale namens FruitStone, wodurch sich die Angreifer auch nach der ersten Umleitung weiter im System bewegen können, ohne dass der Einstieg sofort als kompromittiert auffällt.
Die Lage wird zusätzlich dadurch verschärft, dass die Täter offenbar nicht nur Passwörter abgreifen, sondern auch den Abwehrmechanismus MFA gezielt angreifen. Seit dem 16. Juli beobachten Sicherheitsteams eine deutlich verschärfte Taktik: Nutzer sollen auf eine Seite geführt werden, auf der sie einen Code eingeben sollen, um den Microsoft-Device-Code-Authentifizierungsfluss abzuschließen. Wenn das Opfer dabei den Code in dem Moment eingibt, erteilen Nutzer unwissentlich den Angreifern ein gültiges Sitzungstoken. Genau solche „Timing“-Schwachstellen sind für Unternehmen besonders unangenehm, weil die Logik der Authentifizierung formal korrekt wirkt, während die Identität des Anforderers im Browserkontext manipuliert wurde.
Zur Einordnung der Gruppe nennt Microsoft in der Meldung einen Wechsel in der Zuordnung: Zunächst waren Aktivitäten einer anderen bekannten Gruppe zugeordnet worden, anschließend stellte Microsoft jedoch klar, dass der Cluster Storm-2945 zur Gruppe Midnight Blizzard gehört. Midnight Blizzard wird dabei auch mit APT29 bzw. Cozy Bear in Verbindung gebracht. Für die Verteidigung ist diese Differenzierung mehr als Namenspflege: Sie hilft Incident-Responder dabei, Indikatoren und TTPs (Tactics, Techniques, Procedures) aus früheren Fällen besser abzugleichen, etwa wenn bei ähnlichen Kampagnen bereits Muster bei DNS-Umleitungen, Portal-Manipulation oder Credential-Abgriffen sichtbar wurden.
Für Schutzmaßnahmen raten die Sicherheitshinweise zu einem Mix aus technisch härtenden Kontrollen und Reise-spezifischen Verhaltensregeln. Phishing-resistente MFA-Verfahren sollen grundsätzlich Priorität erhalten, weil Code-basierte Flows in bestimmten Umgebungen ausgenutzt werden können. Ebenso wird empfohlen, öffentliche WLANs als potenziell feindlich zu behandeln, also Hotel-Portale nicht als „harmlos“ anzusehen. Konkret für Geschäftsreisende werden unter anderem dauerhaft aktive VPN-Lösungen mit vollständigem Tunnel statt direkter Nutzung des Hotel-WLANs sowie Mobilfunk-Hotspots als Alternative genannt. Daneben steht die Idee, die Device-Code-Authentifizierung zu deaktivieren, sofern sie betrieblich nicht zwingend benötigt wird.
Daneben sollten Unternehmen ihre Detektion auf die typischen Endpunkte des Angriffs ausrichten: Dazu gehören die Prüfung von Anmelde-Logs auf unerwartete Authentifizierungsversuche, regelmäßige Firmware-Updates für Netzwerkgeräte und der Einsatz von Zero-Trust-Netzwerkrichtlinien, die Zugriffe stärker kontextbasiert bewerten. Auch wenn die Meldung anklingen lässt, dass Angreifer offenbar KI einsetzen könnten, bleiben die Details vage; entscheidend bleibt daher, dass die Verteidigung nicht auf „ein Feature“ reduziert werden darf. In der Praxis entscheidet die Kombination aus gehärteter Authentifizierung, segmentierten Netzwerken, konsequentem Patch- und Log-Handling sowie klaren Reise-Workflows darüber, ob aus einem Hotel-Login ein langfristiger Datenabfluss wird.
Für die strategische Vorbereitung ist die Kampagne ein belastbares Signal: Bedrohungen verlagern sich dorthin, wo Identitäten und Geräte in kurzer Zeit „zwischen“ sicheren Zonen wechseln. Genau in solchen Momenten wirken Awareness-Kampagnen besonders effizient, weil sie das Risiko in konkrete Handlungen übersetzen – etwa „VPN zuerst“ oder „Code-Eingaben nur nach validierter Herkunft“. Gleichzeitig zeigen die beschriebenen Mechanismen, dass Schulungen allein nicht reichen: Die technische Härtung von Authentifizierungswegen und Netzwerkzugängen bleibt die zweite, zwingende Säule. Wer beides zusammendenkt, reduziert nicht nur die Trefferquote, sondern verkürzt auch die Zeit bis zur Erkennung, falls Manipulationen doch einmal unbemerkt bleiben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CaptiveCrunch: Russischer Angriff auf Hotel-WLANs und MFA-Umgehung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CaptiveCrunch: Russischer Angriff auf Hotel-WLANs und MFA-Umgehung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CaptiveCrunch: Russischer Angriff auf Hotel-WLANs und MFA-Umgehung« bei Google Deutschland suchen, bei Bing oder Google News!