LONDON (IT BOLTWISE) – Microsoft warnt vor einer neuen Cyberspionage-Kampagne, die gezielt Reisende in Hotel-Netzwerken angreift. Unter dem Namen „Operation CaptiveCrunch“ sollen gefälschte Browser-Updates den CornFlake-Trojaner auf PCs bringen. Die Angreifer nutzen manipulierte Captive-Portal-Gateways, manipulieren dabei DNS-Antworten und setzen zudem mit „ChocoShell“ auf das Abgreifen von Microsoft-Token. Besonders kritisch wird es, weil seit Mitte Juli auch der Device-Code-Authentifizierungsfluss missbraucht werden kann, um M365-Zugriffe ohne Passwörter und trotz MFA zu ermöglichen.
In vielen Geschäftsreiseroutinen wirkt Hotel-WLAN wie eine vermeintlich harmlose Infrastruktur-Komponente: Man verbindet, lädt den Browser, startet die Mail- oder Kalender-Ansicht. Genau dieses „einfach verbinden“-Verhalten macht die neue Kampagne zu einem guten Einfallstor. Microsoft beschreibt unter dem Namen „Operation CaptiveCrunch“ eine gezielte Cyberspionage-Aktion, bei der Angreifer über kompromittierte Hotel-WLAN-Umgebungen gefälschte Browser-Updates verteilen. Laut Microsoft wird die Aktivität dem Cluster Storm-2945 zu, einem Sub-Cluster des APT29-Umfelds, das auch unter „Midnight Blizzard“ bekannt ist. Für betroffene Nutzer heißt das vor allem: Die Attacke zielt nicht auf zufällige Malware-Downloads ab, sondern auf genau den Moment, in dem Anwender ihre Geräte im Hotelnetz „vertrauen“ lassen.
Technisch geschieht der Einstieg über manipulierte Captive-Portal-Gateways. Solche Gateways sind in Hotels oft eingebaut, damit Nutzer vor dem Internetzugang Nutzungsbedingungen akzeptieren oder sich per Webseite authentifizieren. In der beschriebenen Kampagne manipulieren die Angreifer nach der WLAN-Verbindung die DNS-Antworten. Dadurch gelangen Nutzer nicht auf legitime Update- oder Support-Seiten, sondern werden auf sogenannte ClickFix-Seiten geführt, die unter dem Vorwand dringender Browser-Updates dazu verleiten sollen, bösartige Befehle auszuführen. Microsoft ordnet die Verbreitung bereits ab Anfang Mai 2026 in Hotel-Umgebungen ein – damit ist die Kampagne offenbar nicht als Einzelfall gestartet, sondern lief bereits länger, bevor die Warnung öffentlich wurde.
Das Augenmerk der Analyse verschiebt sich zudem auf eine deutliche Weiterentwicklung ab dem 16. Juli: Seit diesem Zeitpunkt missbrauchen die Angreifer den Device-Code-Authentifizierungsfluss von Microsoft. Diese Komponente spielt in Microsoft-Ökosystemen eine wichtige Rolle, insbesondere dort, wo sich nicht jeder Client komfortabel interaktiv anmelden kann. Aus Sicht der Angreifer ist das jedoch ein Hebel: Durch den Missbrauch lassen sich laut Microsoft gültige Zugriffs-Token erlangen. Genau hier entsteht der „MFA-Problemraum“: Wenn ein Token gültig ist und den Device-Code-Prozess umgeht, muss der Angreifer nicht das Passwort kennen und wird nicht zwangsläufig durch die klassische Multifaktor-Authentifizierung ausgebremst. Für Sicherheitsverantwortliche ist das ein Hinweis darauf, dass Token-Logik und Authentifizierungsflows in Bedrohungsmodellen stärker berücksichtigt werden müssen als nur „Passwort plus zweiter Faktor“.
Bei erfolgreicher Infektion übernimmt der CornFlake-Trojaner dann die Systemseite. Laut Microsoft kopiert sich die Schadsoftware in das Verzeichnis %APPDATA%svchost32svchost32.exe und registriert sich im System als Dienst mit dem Namen „Cloud Sync Service“. Das Muster ist typisch für Spionagetrojaner, weil es Persistenz über einen Service ermöglicht und das Verhalten an einem scheinbar harmlosen Namen ausrichtet. Die Funktionen gehen über reine Datenabgreifung hinaus: CornFlake soll Webcam- und Mikrofonzugriff aktivieren, Tastatureingaben aufzeichnen sowie Dateien und Screenshots entnehmen. Neben der klassischen Desktop-Bedrohung beschreibt die Warnung außerdem eine Ergänzung über den PowerShell-Stealer ChocoShell. Dieses Werkzeug ist darauf ausgelegt, Authentifizierungs-Token für Microsoft 365 und Azure Active Directory zu sammeln, um dauerhaften Zugriff auf Unternehmensressourcen sicherzustellen.
Über Windows-Umgebungen hinaus wird die Kampagne laut Microsoft auch auf Android-Geräte ausgedehnt. Die ClickFix-Seiten sollen hier Nutzer zur Installation infizierter APK-Dateien verleiten, sodass nicht nur Desktop-Clients, sondern auch mobile Endpunkte in den Zugriffsketten landen. Das ist aus Angreifersicht strategisch: Gerade weil mobile Apps häufig als „Alltagszugang“ für Banking, Kommunikation oder Unternehmenszugriffe dienen, entsteht ein höheres Risiko für unbemerkte Token-Abflüsse oder für die spätere Ausnutzung kompromittierter Konten. Zusätzlich berichten ergänzende Analysen aus der Sicherheitsforschung, dass die Kampagne über Hotels hinaus in weitere öffentliche Umfelder hineinreicht – etwa Konferenzzentren und andere öffentliche Einrichtungen. Dort werden Phishing-Mechanismen gegen Microsoft-365-Logins bereits seit mindestens Juni 2026 als aktiv eingeordnet, wobei bereits zuvor bösartige Domains dokumentiert worden seien.
Für die Praxis ist entscheidend, welche Schutzmaßnahmen sich daraus ableiten lassen. Microsoft empfiehlt, WLAN-Netzwerke in Hotels, Flughäfen und Konferenzbereichen grundsätzlich als nicht vertrauenswürdig einzustufen. Nutzer sollten nach Möglichkeit auf mobile Hotspots ausweichen und Updates nicht über Captive Portale ausführen. Auch die Empfehlung, die Multifaktor-Authentifizierung zu stärken, bleibt relevant, allerdings mit dem Zusatzgedanken: Entscheidend ist, dass der konkrete Authentifizierungsweg abgesichert ist. In der gleichen Linie nennt Microsoft eine Blockade des Device-Code-Authentifizierungsflusses, sofern dieser nicht zwingend benötigt wird. Sicherheitsanalysen betonen außerdem, dass „nur“ DNS-Absicherung in solchen Szenarien nicht ausreicht, weil die Angreifer den Weg der Anfragen über Portale und Umleitungen beeinflussen. Als zusätzliche Härtung werden deshalb Lösungen empfohlen, die den gesamten Datenverkehr absichern, etwa durch dauerhaft aktivierte Full-Tunnel-VPN-Setups, plus das kritische Prüfen von Login-URLs bei ungewohnten Aufforderungen.
Auch die im Bericht genannten Indikatoren helfen beim Risikomanagement, weil sie den Übergang von abstrakten Warnungen hin zu konkreten Such- und Filteransätzen erlauben. In den Analysen werden beispielsweise Phishing-Domains wie m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com genannt. In etwa einem Drittel der untersuchten Fälle soll zudem das Web Proxy Auto-Discovery Protocol (WPAD) missbraucht worden sein, um Datenverkehr umzuleiten. Für Unternehmen bedeutet das: Neben Endpunkt- und Browserhärtung müssen auch Proxies, DNS- und Netzwerkpfade sowie Event-Telemetrie stärker verknüpft werden. Besonders wichtig ist, ungewöhnliche Authentifizierungsereignisse rund um Device-Code-Workflows sowie Token-bezogene Zugriffe früh zu erkennen, damit Angriffe wie die Abgreifung über ChocoShell nicht nur „nachträglich“ auffallen, sondern bereits im Aufbau gestoppt werden.
Schließlich zeigt der Fall, wie schnell sich kompromittierte „Public Connectivity“-Szenarien von einem Komfortproblem zu einem echten Identitätsrisiko entwickeln. Hotels und Konferenzzentren sind keine klassischen Unternehmensgrenzen, aber sie erzeugen den ersten Kontaktpunkt in einer Kette, die über Captive-Portale, DNS-Manipulation und Authentifizierungsflows schließlich in Microsoft 365 und Azure AD führt. Für IT-Leitungen und Security-Teams heißt das, Reiseprozesse und Authentifizierungspolitiken als Teil des Sicherheitskonzepts zu behandeln. Wenn Mitarbeitende unterwegs sind, entscheidet nicht nur die vorhandene MFA-Policy, sondern auch, welche Auth-Methoden in Risiko-Szenarien noch aktiv sind. Und auf Endnutzerseite zählt die einfache Disziplin: keine Updates über Captive Portals ausführen, URLs prüfen und bei Device-Code-Anforderungen besonders aufmerksam sein.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hotel-WLANs unter Beschuss: Microsoft warnt vor CornFlake- und ChocoShell-Angriffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hotel-WLANs unter Beschuss: Microsoft warnt vor CornFlake- und ChocoShell-Angriffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hotel-WLANs unter Beschuss: Microsoft warnt vor CornFlake- und ChocoShell-Angriffen« bei Google Deutschland suchen, bei Bing oder Google News!