Beobachtungen
Sicherheitsforscher von ReliaQuest und Microsoft warnen vor einer aktuellen Angriffskampagne. Die Angreifer nutzen dabei kompromittierte Hotel-, Konferenz-, Flughafen- und ähnliche Gäste-WLANs. Mithilfe von Adversary-in-the-Middle-(AitM)-Methoden verschaffen sie sich Zugang zu den Nutzerkonten von Geschäftsreisenden. Dabei wird auch die Multi-Faktor-Authentifizierung (MFA) umgangen. Das primäre Angriffsziel sind den bisherigen Berichten zufolge Microsoft 365-Konten, aber auch weitere Dienste könnten ins Visier geraten sein oder im weiteren Verlauf dazukommen. Die Kampagne läuft demnach bereits seit Mai 2026. Kompromittierte WLAN-Netzwerke in diesem Zusammenhang wurden bisher in den USA, Indien und Saudi-Arabien festgestellt. Dass auch Netzwerke in anderen Ländern, darunter Deutschland, betroffen sind, ist nicht auszuschließen. Zudem können Geschäftsreisende deutscher Unternehmen im Ausland Opfer der Kampagne werden.
Methoden
Die genaue Vorgehensweise der Angreifer zur initialen Kompromittierung der Netzwerk-Infrastruktur für Hotel-, Konferenz-, Flughafen-, und ähnliche Gäste-WLANs ist bislang nicht geklärt. ReliaQuest vermutet, dass hierbei über das Internet erreichbare Management-Interfaces in Verbindung mit schwachen oder wiederverwendeten Passwörtern eine Rolle spielen.
Datenverkehr der Internetnutzer über solche Netzwerke wird durch Manipulation der DNS- und http-Kommunikation über die IT-Infrastruktur der Angreifer geleitet. Dies ermöglicht es ihnen, als AitM Zugangsdaten einschließlich MFA mittels Phishing abzugreifen, obwohl Nutzer die legitime Webseite über legitime Adressen aufzurufen versuchen.
Darüber hinaus berichtet Microsoft, dass Nutzer in ähnlicher Weise auf sogenannte ClickFix weitergeleitet werden, bei denen sie angewiesen werden, bestimmte Befehle auf ihrem Gerät auszuführen. Diese Befehle resultieren in der verdeckten Installation eines Remote Access Trojaners (RAT). Dies ermöglicht es den Angreifern beispielsweise Zugangsdaten und Dateien in großem Umfang zu sammeln und Nutzer per Video, Audio bzw. Keylogger auszuspionieren.
Attribution
Microsoft ordnet die Kampagne der Gruppe Storm-2945 zu. Diese gehört demnach zur APT-Gruppierung Midnight Blizzard, auch bekannt unter den Bezeichnungen Cozy Bear und APT29. Diese APT-Gruppierung wird dem russischen Auslandsgeheimdienst SWR zugerechnet.
Empfehlungen
Die Verwendung einer eigenen Internetverbindung, beispielsweise über einen mobilen Hotspot, Satelliten oder das Mobilfunknetz sollte gegenüber Gäste-WLANs und öffentliche Hotspots bevorzugt werden. Gegebenenfalls kann es zielführend sein, die Verbindung mit WLAN-Netzwerken via Mobile Device Management (MDM) zu unterbinden oder auf vertrauenswürdige Netzwerke zu beschränken. Weiter kommt die Verwendung eines VPN in Betracht, um den gesamten Datenverkehr (einschließlich DNS-Anfragen) stets über eine vertrauenswürdige Verbindung abzuwickeln.
Es sollten keine Software, Updates oder Zertifikate über die Start- bzw. Anmeldeseiten von Gäste-WLANs (Captive Portals) heruntergeladen bzw. installiert werden. Auch anderen unerwarteten Aufforderungen zu solchen Installationen während der Nutzung sollte nicht nachgekommen werden. Wir empfehlen außerdem, Anwender hinsichtlich sogenannter ClickFix-Aufforderungen zu sensibilisieren, um die Installation von Schadsoftware zu unterbinden.
Microsoft stellt eine Liste von Indicators of Compromise (IoC) für diese Kampagne zur Verfügung. Diese kann zur Identifizierung möglicher Betroffenheiten im Unternehmen eingesetzt werden.