Wer im Urlaub das kostenlose WLAN im Hotel nutzt, spielt unter Umständen russischen Cyberkriminellen in die Hände. Microsoft hat eine weltweit aktive Spionagekampagne mit dem Namen „CaptiveCrunch“ aufgedeckt. Dabei werden gezielt die Anmeldeportale von Gastnetzwerken manipuliert, um Geräte zu infizieren und sensible Daten abzugreifen.
Laut einer am Freitag veröffentlichten Analyse von Microsoft Threat Intelligence steckt hinter den Angriffen die Gruppierung „Storm-2945“. Dabei handelt es sich um eine Untergruppe des auch als „Midnight Blizzard“, „APT29“ oder „Cozy Bear“ bekannten Akteurs, der dem russischen Auslandsgeheimdienst SWR zugerechnet wird. Die IT-Sicherheitsfirma hatte die Aktivitäten eigenen Angaben zufolge bereits im Mai entdeckt. Warum die Öffentlichkeit jedoch erst rund drei Monate später informiert wurde, erklärte sie nicht.
Die Falle schnappt auf dem Anmeldebildschirm zu
Die Methode der Angreifer ist perfide: Anstatt einzelne Smartphones oder Computer direkt anzugreifen, manipulieren sie die zentralen Anmeldeseiten der WLAN-Netzwerke, die sogenannten Captive Portals. Wer sich dort mit dem Internet verbinden will, sieht plötzlich gefälschte Systemmeldungen. Die Bandbreite der Tarnung reicht von angeblichen Windows-Updates über gefälschte Virenscans bis hin zu einer vermeintlichen Google-Sicherheitsabfrage, die eine „ungewöhnliche Netzwerkaktivität“ meldet.
Folgt der Nutzer den Anweisungen, wird eine Schadsoftware heruntergeladen, die den Kriminellen weitreichende Kontrolle verschafft. Betroffen sind nicht nur Hotels, sondern auch Konferenzzentren, Flughäfen und andere öffentliche WLAN-Hotspots.
Zugriff auf Passwörter, Dokumente und Mikrofon
Laut Microsoft können Hacker, sobald das System kompromittiert ist, eine Fülle sensibler Informationen abgreifen: Dazu zählen Browser-Cookies, gespeicherte Passwörter, lokale Dokumente, Tastatureingaben, Bildschirmfotos sowie Audio- und Videoaufnahmen. Zudem ist es möglich, das Gerät aus der Ferne zu steuern. In einigen Fällen werden Opfer auf täuschend echt nachgebaute Microsoft-365-Loginseiten gelotst. Die dort eingegebenen Zugangsdaten öffnen den Angreifern dann Tür und Tor zu E-Mail-Postfächern und OneDrive-Inhalten.
Microsofts dringende Reisewarnung
Das Unternehmen rät Reisenden zu erhöhter Vorsicht. Wann immer möglich, sollte der persönliche mobile Hotspot des Smartphones anstelle des offenen Hotel-WLANs genutzt werden. Grundsätzlich gilt: Niemals unerwartete Software-, Browser- oder Sicherheits-Updates herunterladen, die auf einem öffentlichen Anmeldeportal erscheinen. Auch Unternehmen sind in der Pflicht, ihre Mitarbeiter für die Risiken bei der Nutzung fremder Netzwerke zu sensibilisieren und die dort preisgegebenen Informationen kritisch zu prüfen.