LONDON (IT BOLTWISE) – Microsoft warnt vor einer weltweiten Angriffswelle, die gezielt WLAN-Netze in Hotels und im Gastgewerbe ausnutzt. Täter manipulieren dafür DNS und HTTP-Datenverkehr, sobald sich Gäste über Anmeldung-Vorschaltseiten ins Netz einwählen. Auf kompromittierten Geräten landet anschließend ein Schadprogramm namens CornFlake, das dauerhaft im System verbleibt. Laut Microsoft werden neben Bildschirmfotos und Zwischenablage auch Browserdaten, Tokens und Zugangsdaten gezielt ausgelesen.
Microsoft beschreibt eine aktuell anlaufende Welle von Cyberangriffen, die sich nicht gegen einzelne Häuser richtet, sondern gegen das Hotellerie-Ökosystem selbst: WLANs mit sogenannten Vorschaltseiten für die Anmeldung, also Captive-Portals, die Nutzern nach dem Verbinden zunächst eine Interaktionsseite anzeigen. Der entscheidende Hebel liegt dabei weniger im klassischen „Passwort-Hacking“, sondern in der Fähigkeit der Angreifer, den Datenverkehr reisender Gäste beim Übergang von der Anmeldung ins eigentliche Netzwerk umzulenken. So entsteht ein Angriffspfad, der für Gäste im Alltag wie eine harmlose Netz-„Bedingung“ wirkt, für die IT aber eine vollständige Kontrolle über den Kommunikationsstrom bedeutet.
Technisch setzt der Angriff laut Microsoft an zwei Stellen an: An der Namensauflösung über DNS und am HTTP-Datenverkehr innerhalb der betroffenen Netzwerke. Die Akteure sollen seit Anfang Mai 2026 Domain-Namen und HTTP-Verbindungen manipulieren. Sobald sich ein Gast in das WLAN eines Hotels einwählt, leiten die Angreifer die Datenströme auf eigene Server um und liefern anschließend gefälschte Hinweise auf angebliche Systemaktualisierungen oder Treiberfehler aus. Genau in diesem Moment wird aus dem Captive-Portal-„Login“ eine Transportstrecke für Social Engineering, die im Idealfall für die Zielperson nie als Anomalie erscheint. Interessant ist außerdem, dass die Vorfälle nicht durchweg auf dieselben sichtbaren Produkte begrenzt wirken: Gemeinsamkeiten bei eingesetzten Geräten und Verwaltungssystemen deuten vielmehr darauf hin, dass Täter Zugriff auf zentrale Dienstleister oder gemeinsam genutzte Komponenten innerhalb des Anmeldeseiten-Umfelds erlangt haben könnten.
Auf den Zielgeräten wird danach ein eigens entwickeltes Schadprogramm mit dem Namen CornFlake eingesetzt. Microsoft zufolge täuscht das Programm während seiner Ausführung einen regulären Systemprozess vor, um unauffällig zu bleiben. Entscheidend für die Nachhaltigkeit der Kompromittierung ist, dass CornFlake dauerhaft im Betriebssystem nistet und mehrere Überwachungsroutinen einrichtet. Danach geht es in die klassische „Credential- und Recon“-Phase: Das Schadprogramm erfasst Tastatureingaben, liest Inhalte aus der Zwischenablage, fertigt Bildschirmfotos an und greift auf Mikrofone sowie Kameras zu. Zusätzlich durchsucht die Software gespeicherte Browserdaten nach Passwörtern und Authentifizierungs-Tokens. Ein weiteres Werkzeug zielt darauf ab, Zugangsdaten für Unternehmensdienste sowie lokale WLAN-Schlüssel zu entwenden, womit sich der Angriff nicht nur auf die unmittelbare Sitzung beschränkt, sondern potenziell die spätere Wiederverwendung von Zugangsinformationen in weiteren Umgebungen erleichtert.
Microsoft ordnet die Aktivitäten einer Gruppierung namens Storm-2945 zu, die als operativer Teilbereich des Akteurs Midnight Blizzard beschrieben wird. Für Betreiber und Sicherheitsverantwortliche ist diese Einordnung vor allem deshalb relevant, weil sie Hinweise auf Vorgehensmuster liefert: Storm-2945 bzw. Midnight Blizzard werden in der Praxis typischerweise nicht auf einen einzigen Angriffsvektor reduziert, sondern nutzen häufig die Kombination aus Netzwerkmanipulation, Täuschung im Benutzerkontext und Persistenz auf Endpunkten. Gerade im Gastgewerbe ist der Verteidigungsapparat jedoch oft auf andere Risikotypen ausgelegt, etwa auf die Abwehr von Malware über Downloads oder auf den Schutz gegen unspezifische Phishing-Angriffe. Der hier beschriebene Ablauf zeigt dagegen, wie wichtig es ist, die „Übergabestellen“ im Netzwerk zu härten: genau dort, wo Gäste in Captive-Portals, Registrierungsmechanismen und Redirect-Ketten geraten.
Spürbar wird zudem, dass Microsoft „erheblichen Umfang“ KI-gestützter Werkzeuge bei Vorbereitung und Durchführung der Operationen feststellt. Der Bericht nennt in diesem Zusammenhang keine konkreten Modellnamen oder Parameter, aber er setzt einen klaren Akzent: KI kann in solchen Kampagnen nicht nur bei Text- oder Gestaltungselementen helfen, sondern vor allem bei der schnelleren Anpassung von Umgehungs- und Täuschungslogik. In der Praxis betrifft das häufig zwei Ebenen gleichzeitig: erstens die Automatisierung der Erkennung und Nachbereitung von Zielumgebungen, zweitens die Anpassungsfähigkeit von Social-Engineering-Elementen an beobachtete Benutzer- und Netzwerkmuster. Ergänzend macht Microsoft deutlich, dass es Netzbetreibern und Unternehmen technische Erkennungsmuster zur Identifikation der infizierten Netzwerke und Systeme sowie zur Abwehr der Angriffe bereitstellt. Das ist für die Operations-Seite entscheidend, weil es weniger um allgemeine „Hinweise zur Aufmerksamkeit“ geht, sondern um konkret verwertbare Muster im technischen Monitoring.
Ein weiterer Punkt kommt aus dem Umfeld, das Microsoft und die Beobachtungen von ReliaQuest adressieren: Entsprechende Aktivitäten sollen nicht nur in Hotels auftreten, sondern auch in Konferenzzentren und anderen öffentlich zugänglichen Einrichtungen. Außerdem legt der Bericht nahe, dass Angreifer gezielt versuchen, Zugriffsdaten von Unternehmensvertretern auf Reisen zu erlangen. Damit rückt die Frage der Abgrenzung zwischen „Gastzugang“ und „Unternehmenskonto“ in den Fokus: Wenn Reisende mit ihren üblichen Geräten in Umgebungen mit kompromittierbaren Captive-Portals arbeiten, steigt die Wahrscheinlichkeit, dass Tokens oder Passwörter nicht nur abgegriffen, sondern anschließend für echte Unternehmensdienste nutzbar gemacht werden. Auch wenn diese Passage keine exakten Erfolgsquoten oder kompromittierten Konten nennt, ist das Szenario plausibel genug, um Sicherheitsprozesse rund um WLAN-Zugänge, Endpoint-Schutz und Account-Hygiene in der Hotellerie und bei Geschäftskunden neu zu priorisieren.
Für Unternehmen mit Hotelaufenthalten als organisatorischem Normalfall empfiehlt sich vor allem ein defensives Zusammenspiel aus Netzwerk- und Endpunktsicht. Netzwerkseitig muss die Redirect-Logik rund um DNS und HTTP so überwacht werden, dass Abweichungen in der Namensauflösung und im Traffic-Muster früh auffallen. Endpunktsicht ist mindestens ebenso wichtig, weil CornFlake nicht nur passiv ausliest, sondern Mikrofon- und Kamerazugriffe sowie Browserdaten-Extraktion und Bildschirmaufnahmen umfasst. Dazu passt auch der im Bericht erwähnte Ansatz, Erkennungsmuster zu nutzen, um „infizierte Netzwerke und Systeme“ identifizieren zu können. Wer solche Muster bereits in vorhandene SIEM- und Incident-Response-Prozesse übersetzt, kann die Reaktionszeit verkürzen, statt sich auf den Zeitpunkt zu verlassen, an dem ein Gast selbst eine Fehlermeldung bemerkt. So wird aus einer schwer greifbaren WLAN-Sicherheitslücke ein kontrollierbarer Abschnitt im Gesamtsicherheitsmodell – und genau an dieser Schnittstelle entscheidet sich in der Praxis, wie wirksam Abwehrmaßnahmen gegen KI-unterstützte Kampagnen tatsächlich sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft warnt vor KI-unterstützten Angriffen auf Hotel-WLANs mit DNS-Umleitung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft warnt vor KI-unterstützten Angriffen auf Hotel-WLANs mit DNS-Umleitung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft warnt vor KI-unterstützten Angriffen auf Hotel-WLANs mit DNS-Umleitung« bei Google Deutschland suchen, bei Bing oder Google News!