Kenneth Glad
Forscher untersuchen weiterhin eine Cyberkampagne, die die fortschreitende Entwicklung der Methoden digitaler Spionage verdeutlicht. Die Erkenntnisse unterstreichen die wachsende Bedeutung sicherer Internetverbindungen auf Reisen und bei der Arbeit außerhalb des Büros.
Anmeldeseiten für Hotel-WLAN werden in einer gezielten Spionagekampagne gegen Reisende von nachrichtendienstlichem Interesse ausgenutzt.
Forscher von Microsoft erklären, dass russlandnahe staatliche Hacker Netzwerke im Gastgewerbe kompromittiert und den Datenverkehr sogenannter Captive Portals manipuliert hätten, um Schadsoftware zu verbreiten und Zugangsdaten zu stehlen.
Die Kampagne mit dem Namen CaptiveCrunch ist seit Anfang Mai 2026 aktiv. Microsoft schreibt sie Storm-2945 zu, einer Untergruppe von Midnight Blizzard, die von US-amerikanischen und britischen Behörden mit dem russischen Auslandsgeheimdienst in Verbindung gebracht wird.
Falle mit gefälschtem Update
Ein Captive Portal ist eine Registrierungsseite, die Gäste aufrufen müssen, bevor sie sich mit einem Hotelnetzwerk verbinden können. Die Angreifer manipulierten DNS-Anfragen und unverschlüsselten HTTP-Datenverkehr und leiteten ausgewählte Nutzer über eine von ihnen kontrollierte Infrastruktur um.
Den umgeleiteten Reisenden wurden gefälschte Prüfungen des Browsers oder Betriebssystems angezeigt. Wer den Anweisungen folgte und die heruntergeladene Datei ausführte, konnte dadurch den Windows-Fernzugriffstrojaner CornFlake installieren.
Laut Microsoft kann CornFlake Tastatureingaben aufzeichnen, Passwörter und Sitzungstoken stehlen, auf die Webcam eines Computers zugreifen und Ton über das Mikrofon aufnehmen.
Solche Angriffe können für Beschäftigte, die außerhalb der vom Unternehmen verwalteten Netzwerke arbeiten, besonders gefährlich sein, da die üblichen Sicherheitsmechanismen dort möglicherweise nicht zur Verfügung stehen.
Gemeinsame Infrastruktur
Die Ermittler konnten bislang nicht feststellen, wie die Systeme der Hotels ursprünglich kompromittiert wurden. Da mehrere betroffene Standorte ähnliche Geräte oder Verwaltungstechnologien nutzten, untersucht Microsoft, ob die Angriffe auf eine gemeinsame Infrastruktur zurückzuführen sind.
Das Unternehmen fand zudem Hinweise darauf, dass der Entwickler eines separaten Schadskripts namens ChocoShell möglicherweise KI-gestützte Codegenerierung genutzt hat. Microsoft kam jedoch nicht zu dem Schluss, dass künstliche Intelligenz bei der umfassenderen Operation eingesetzt wurde.
Reisenden wird empfohlen, Hotel-WLAN grundsätzlich als nicht vertrauenswürdig zu betrachten, Software-Updates abzulehnen, die über Anmeldeseiten angeboten werden, und beim Umgang mit sensiblen Informationen ein vertrauenswürdiges VPN oder eine Mobilfunkverbindung zu nutzen.
Europäische Sanktionen
Die Erkenntnisse wurden zeitgleich mit separaten europäischen Bemühungen veröffentlicht, Russlands breiteres Cyberökosystem zu stören.
Am 13. Juli 2026 verhängte die Europäische Union Sanktionen gegen neun Personen und vier Organisationen, denen vorgeworfen wird, bösartige Cyberaktivitäten durchgeführt, ermöglicht oder erleichtert zu haben.
Großbritannien kündigte am selben Tag gemeinsam mit der EU sein erstes koordiniertes Sanktionspaket im Cyberbereich an. Die Maßnahmen wurden nicht als Reaktion auf CaptiveCrunch dargestellt.
Quellen: Microsoft Threat Intelligence, Rat der Europäischen Union und UK Foreign, Commonwealth & Development Office.