Russische Hacker greifen weltweit Reisende über manipulierte WLAN-Netze in Hotels, Ferienanlagen und Konferenzzentren an. Nach Erkenntnissen von Microsoft erscheinen nach der Anmeldung gefälschte Sicherheitsmeldungen, Browser-Updates oder Windows-Hinweise, die Betroffene zur Installation von Schadsoftware verleiten sollen, die monrose.de berichtet mit bild.de.
Die Kampagne trägt den Namen CaptiveCrunch. Microsoft ordnet die Aktivitäten der Gruppe Storm-2945 zu, die als Untergruppe von Midnight Blizzard geführt wird. Die Angreifer richten sich nicht wahllos gegen jeden Hotelgast, sondern konzentrieren sich nach Einschätzung der Sicherheitsforscher auf ausgewählte Personen und Organisationen mit politisch, wirtschaftlich oder strategisch interessanten Informationen.
So funktioniert der Angriff über das Hotel-WLAN
Bei einem Hackerangriff über Hotel-WLAN beginnt die Gefahr nicht zwangsläufig mit einer verdächtigen E-Mail. Die Täter setzen direkt bei der Internetverbindung an, die Reisende im Hotel, in einer Ferienanlage oder auf einer Konferenz nutzen.
Normalerweise öffnet sich nach der Verbindung mit einem Gäste-WLAN eine Anmeldeseite. Dort müssen Nutzer häufig ihre Zimmernummer, E-Mail-Adresse oder einen Zugangscode eingeben. Solche Seiten werden Captive Portals genannt.
Storm-2945 soll genau diese Infrastruktur manipulieren. Sobald sich eine ausgewählte Person mit dem Netzwerk verbindet, kann ihr Datenverkehr auf eine gefälschte Seite umgeleitet werden. Diese sieht wie eine normale Anmeldung, ein Sicherheitscheck oder ein offizielles Update aus.
„Die Angreifer kompromittieren Anmeldeportale von Einrichtungen aus dem Gastgewerbe“, beschreibt Microsoft Threat Intelligence den zentralen Zugangsweg der Kampagne.
Das Opfer sieht möglicherweise zunächst eine echte oder zumindest glaubwürdig gestaltete WLAN-Seite. Erst danach erscheint eine Meldung, die angeblich für die Nutzung des Internets erforderlich ist. Wer den Anweisungen folgt, führt unter Umständen selbst den Befehl aus, der den Schadcode auf dem Gerät installiert.
Die Verbindung zum Hotel-WLAN wirkt vertraut. Die angezeigte Seite sieht professionell aus. Gerade diese scheinbare Normalität macht den Angriff so gefährlich.
Gefälschte Updates installieren Schadsoftware
Besonders häufig arbeiten die Angreifer mit einem gefälschten Windows-Update. Auf dem Bildschirm erscheint eine Meldung, die einem echten Hinweis von Microsoft oder einem bekannten Browser ähnelt. Nutzer sollen eine Datei herunterladen, einen Befehl ausführen oder bestimmte Tastenkombinationen verwenden.
Ein reguläres Windows-Update wird jedoch nicht über eine plötzlich erscheinende Hotel-Webseite installiert. Auch Chrome, Edge oder Firefox verlangen normalerweise nicht unmittelbar nach der WLAN-Anmeldung den Download einer unbekannten Datei.
Die Angriffsseiten können verschiedene Szenarien anzeigen:
- ein angeblich fehlendes Windows-Sicherheitsupdate;
- eine veraltete Browser-Version;
- ein neues WLAN-Zertifikat;
- eine vermeintlich notwendige Schutzsoftware;
- eine Aufforderung zum Kopieren eines Befehls;
- eine App, die außerhalb eines offiziellen Stores installiert werden soll;
- eine erneute Anmeldung bei Microsoft 365 oder Google.
Einige Varianten nutzen die sogenannte ClickFix-Methode. Dabei wird behauptet, auf dem Computer liege ein technischer Fehler vor. Zur Behebung sollen Betroffene einen vorgegebenen Befehl kopieren und in einem Windows-Fenster ausführen.
Der Nutzer umgeht damit unbewusst mehrere Sicherheitsbarrieren. Statt dass die Schadsoftware automatisch startet, bringt die gefälschte Anleitung das Opfer dazu, den Angriff selbst auszulösen. Microsoft beobachtet diese Form der sozialen Manipulation seit mehreren Jahren bei unterschiedlichen Hackergruppen.
Welche Daten die Hacker stehlen können
Nach einer erfolgreichen Infektion kann die Schadsoftware im Hotel-WLAN weitreichende Zugriffe erhalten. Welche Funktionen tatsächlich verfügbar sind, hängt von der eingesetzten Malware und den Rechten des angemeldeten Benutzers ab.
Möglich sind unter anderem:
- Diebstahl gespeicherter Passwörter;
- Zugriff auf Browser-Cookies und aktive Sitzungen;
- Kopieren persönlicher oder geschäftlicher Dateien;
- Auslesen von Microsoft-365-Zugangsdaten;
- Aufzeichnung von Tastatureingaben;
- Erfassung technischer Geräteinformationen;
- Installation zusätzlicher Schadprogramme;
- Zugriff auf Mikrofon oder Webcam;
- Vorbereitung weiterer Angriffe auf Unternehmensnetzwerke.
Besonders wertvoll sind aktive Sitzungscookies. Sie können es Angreifern ermöglichen, auf ein Konto zuzugreifen, ohne das eigentliche Passwort erneut eingeben zu müssen. Auch eine klassische Zwei-Faktor-Anmeldung bietet in bestimmten Angriffsszenarien keinen vollständigen Schutz, wenn eine bereits bestätigte Sitzung übernommen wird.
| Gestohlene Information | Mögliches Risiko |
|---|---|
| Passwörter | Übernahme von E-Mail-, Cloud- oder Firmenkonten |
| Browser-Cookies | Zugriff auf bereits angemeldete Sitzungen |
| Dateien | Verlust vertraulicher Dokumente und Kundendaten |
| Tastatureingaben | Erfassung neuer Passwörter und Nachrichten |
| Microsoft-365-Daten | Zugriff auf E-Mails, Teams und SharePoint |
| Geräteinformationen | Vorbereitung weiterer gezielter Angriffe |
Besonders gefährlich wird die Infektion auf einem Firmenlaptop. Ein einzelnes kompromittiertes Gerät kann den Angreifern einen Ausgangspunkt für spätere Zugriffe auf interne Systeme bieten.
Wer hinter CaptiveCrunch steht
Microsoft führt die Kampagne unter der Bezeichnung CaptiveCrunch. Verantwortlich soll Storm-2945 sein, eine Untergruppe des russischen Akteurs Midnight Blizzard.
Midnight Blizzard ist auch unter Bezeichnungen wie Nobelium oder APT29 bekannt. Sicherheitsbehörden in den USA und Großbritannien bringen die Gruppe mit dem russischen Auslandsgeheimdienst SVR in Verbindung. Microsoft beschreibt die Akteure als langfristig arbeitende Cyberspionagegruppe, die vor allem Regierungen, diplomatische Einrichtungen, Nichtregierungsorganisationen, Technologieunternehmen und strategisch relevante Personen angreift.
Die Ziele der Kampagne sprechen gegen gewöhnliche Internetkriminalität. Bei klassischen Betrugsangriffen geht es häufig um schnelle Zahlungen, Kreditkartendaten oder den Verkauf gestohlener Konten. Staatlich unterstützte Gruppen interessieren sich dagegen stärker für vertrauliche Kommunikation, politische Informationen, Geschäftsunterlagen und den dauerhaften Zugang zu interessanten Netzwerken.
Ein Sicherheitsexperte würde eine unerwartete Update-Forderung im Gäste-WLAN grundsätzlich als Warnsignal bewerten, besonders wenn eine Datei oder ein manueller Befehl verlangt wird.
Reisende mit Zugang zu Regierungsdaten, Forschungsergebnissen, Unternehmensstrategien oder internen Kommunikationssystemen tragen deshalb ein höheres Risiko. Trotzdem können auch private Urlauber betroffen sein, wenn sie dasselbe manipulierte Netzwerk nutzen.
Woran Reisende die Hacker-Falle erkennen
Eine professionell gestaltete Seite muss nicht seriös sein. Moderne Phishing- und Malware-Kampagnen kopieren Schriften, Logos, Farben und Formulierungen bekannter Unternehmen nahezu fehlerfrei.
Misstrauen ist angebracht, wenn direkt nach der Anmeldung im Hotel-WLAN eine Sicherheitswarnung erscheint. Besonders verdächtig sind Anweisungen, die eine ungewöhnliche Handlung verlangen.
Zu den wichtigsten Warnzeichen gehören:
- Die WLAN-Seite fordert den Download einer ausführbaren Datei.
- Ein angebliches Update soll direkt im Browser installiert werden.
- Nutzer sollen einen Befehl kopieren und in Windows einfügen.
- Eine App wird außerhalb des offiziellen App-Stores angeboten.
- Die Seite verlangt Administratorrechte für eine unbekannte Anwendung.
- Ein Microsoft- oder Google-Gerätecode soll bestätigt werden.
- Die Internetverbindung funktioniert angeblich erst nach der Installation eines Zertifikats.
- Eine Anmeldung erscheint mehrfach, obwohl die Zugangsdaten korrekt waren.
Auch eine echte Microsoft-Seite kann Teil des Angriffs sein. Bei bestimmten Verfahren bringen Täter das Opfer dazu, auf einer legitimen Anmeldeseite einen Gerätecode einzugeben. Dieser Code gehört jedoch nicht dem Nutzer, sondern einer Sitzung, die von den Angreifern vorbereitet wurde.
Bestätigt die betroffene Person den Code, autorisiert sie möglicherweise den Zugriff auf ihr eigenes Konto. Die korrekte Internetadresse und das echte Microsoft-Design reichen in diesem Fall nicht aus, um den Betrug zu erkennen.
Warum ein VPN allein nicht immer genügt
Viele Reisende betrachten ein VPN als vollständigen Schutz in öffentlichen Netzwerken. Eine verschlüsselte Verbindung kann das Mitlesen des Datenverkehrs erschweren und ist besonders in offenen WLAN-Netzen sinnvoll.
Sie verhindert jedoch nicht jede Form von Täuschung. Wenn ein Nutzer selbst eine schädliche Datei installiert, einen manipulierten Befehl ausführt oder einen fremden Gerätecode bestätigt, kann auch ein aktives VPN den Vorgang nicht automatisch stoppen.
Ein VPN schützt außerdem häufig erst nach erfolgreicher Anmeldung im Gäste-Netzwerk. Die manipulierte Captive-Portal-Seite erscheint möglicherweise schon vorher. Genau diese kurze Phase nutzen Angreifer aus.
Ein VPN ist eine zusätzliche Schutzschicht. Es ersetzt keine vorsichtige Prüfung ungewöhnlicher Meldungen. Entscheidend bleibt, keine Installation über die WLAN-Anmeldeseite zu starten.
So schützen Sie Laptop und Smartphone auf Reisen
Am sichersten ist eine Verbindung über das Mobilfunknetz. Wer einen Laptop benötigt, kann den persönlichen Hotspot des Smartphones verwenden. Dadurch wird die manipulierte Infrastruktur des Hotels vollständig umgangen.
Ist ein Gäste-WLAN unvermeidbar, sollten Updates bereits vor der Reise installiert werden. Das gilt für das Betriebssystem, den Browser, Virenscanner und häufig verwendete Anwendungen.
Diese Maßnahmen reduzieren das Risiko:
- Verwenden Sie für wichtige Aufgaben einen persönlichen Hotspot.
- Installieren Sie Updates ausschließlich über die Geräteeinstellungen.
- Laden Sie Apps nur aus offiziellen App-Stores.
- Geben Sie keine Firmenpasswörter auf einer Hotel-Anmeldeseite ein.
- Aktivieren Sie eine moderne Mehrfaktor-Authentifizierung.
- Nutzen Sie nach Möglichkeit einen physischen Sicherheitsschlüssel.
- Deaktivieren Sie automatische WLAN-Verbindungen.
- Entfernen Sie das Hotelnetz nach der Abreise aus der Liste gespeicherter Netzwerke.
- Trennen Sie berufliche und private Konten.
- Melden Sie verdächtige Seiten der Hotelrezeption und der eigenen IT-Abteilung.
Für besonders sensible Dienstreisen kann ein separates, eingeschränktes Reisegerät sinnvoll sein. Darauf sollten nur die Dateien und Konten verfügbar sein, die während der Reise tatsächlich benötigt werden.
Was nach einem verdächtigen Download zu tun ist
Wer bereits eine Datei geöffnet oder einen unbekannten Befehl ausgeführt hat, sollte das Gerät sofort vom Internet trennen. Bei einem Firmencomputer muss die zuständige IT- oder Sicherheitsabteilung informiert werden.
Ein einfaches Löschen der heruntergeladenen Datei reicht nicht aus. Die Malware könnte bereits weitere Komponenten installiert, Anmeldedaten übertragen oder dauerhafte Zugänge eingerichtet haben.
Betroffene sollten folgende Schritte einhalten:
- WLAN und Mobilfunkverbindung des Geräts ausschalten.
- Das Gerät nicht weiter für E-Mails oder Onlinebanking verwenden.
- Die IT-Abteilung oder einen qualifizierten Sicherheitsdienst informieren.
- Passwörter über ein sauberes, nicht betroffenes Gerät ändern.
- Aktive Sitzungen in wichtigen Konten abmelden.
- Unbekannte Geräte und Anmeldeorte kontrollieren.
- Mehrfaktor-Einstellungen und hinterlegte Wiederherstellungsdaten prüfen.
- Das kompromittierte System professionell untersuchen lassen.
Wurde ein Gerätecode bestätigt, müssen die Kontoberechtigungen überprüft werden. Es kann notwendig sein, erteilte Zugriffe zu widerrufen und alle Sitzungstoken zurückzusetzen.
Smartphones sind nicht grundsätzlich sicher
Die Kampagne richtet sich nach Angaben von Microsoft vor allem gegen Windows-Geräte. Die Sicherheitsforscher sehen jedoch auch Hinweise auf mögliche Angriffswege gegen Android-Systeme.
Auf einem Smartphone kann eine manipulierte Seite beispielsweise zur Installation einer App außerhalb des offiziellen Stores auffordern. Ebenso können gefälschte Anmeldemasken Zugangsdaten abgreifen oder Nutzer zur Bestätigung eines schädlichen Gerätecodes bewegen.
iPhones und iPads besitzen stärkere Einschränkungen bei der Installation von Software aus unbekannten Quellen. Gegen den Diebstahl von Zugangsdaten durch überzeugende Phishing-Seiten sind sie jedoch nicht automatisch geschützt.
Der wichtigste Grundsatz gilt deshalb unabhängig vom Betriebssystem: Ein Hotel, Flughafen oder Konferenzzentrum verlangt für den Internetzugang normalerweise kein spontanes Systemupdate.
Warum Unternehmen ihre Reiseregeln anpassen müssen
Die Kampagne zeigt, dass klassische Hinweise wie „Nutzen Sie ein VPN“ nicht mehr ausreichen. Unternehmen müssen ihren Beschäftigten konkrete Beispiele für manipulierte WLAN-Portale, gefälschte Updates und missbrauchte Gerätecodes vermitteln.
Hilfreich sind klare Vorgaben:
- Dienstgeräte verbinden sich standardmäßig nur über Mobilfunk oder freigegebene Hotspots.
- Lokale Administratorrechte werden auf Reisegeräten eingeschränkt.
- Browser und Betriebssysteme blockieren unbekannte Downloads.
- Kritische Konten verlangen phishingresistente Anmeldeverfahren.
- Sicherheitsabteilungen überwachen auffällige Zugriffe aus Reisegebieten.
- Beschäftigte kennen eine rund um die Uhr erreichbare Meldestelle.
Microsoft empfiehlt Organisationen außerdem, riskante Anmeldungen, neue Geräte und ungewöhnliche Kontozugriffe konsequent zu überwachen. Technische Schutzmaßnahmen müssen mit verständlichen Verhaltensregeln kombiniert werden, da CaptiveCrunch gezielt auf die aktive Mitwirkung des Opfers setzt.
Was Reisende jetzt beachten sollten
Die CaptiveCrunch-Kampagne macht aus einer alltäglichen Handlung ein Sicherheitsrisiko. Wer sich im Hotel mit dem WLAN verbindet, erwartet eine gewöhnliche Anmeldeseite und rechnet nicht mit einer gezielten Spionageoperation.
Updates, Zertifikate oder Sicherheitsprogramme sollten niemals über ein Fenster installiert werden, das unmittelbar nach der WLAN-Anmeldung erscheint. Für Bankgeschäfte, Firmenzugänge und vertrauliche Kommunikation bleibt ein persönlicher Mobilfunk-Hotspot die sicherere Wahl.
Ein plötzliches Update im Hotel ist kein notwendiger Service, sondern möglicherweise der Beginn eines Angriffs. Wer die Seite schließt, die Verbindung trennt und das Gerät ausschließlich über die offiziellen Einstellungen aktualisiert, nimmt den Tätern ihren wichtigsten Vorteil: die unüberlegte Mitarbeit des Opfers.