Microsoft warnt: Russische Hacker verbreiten Malware über öffentliche WLANs

Gefahr in öffentlichen Netzwerken

Wer in Hotels, an Flughäfen oder in anderen öffentlichen Einrichtungen auf WLAN-Zugänge angewiesen ist, sollte derzeit erhöhte Vorsicht walten lassen. Microsoft hat vor einer gezielten Angriffskampagne gewarnt, bei der Akteure die Netzwerkinfrastruktur manipulieren, um Daten abzugreifen und Schadsoftware auf Endgeräte zu schleusen. Die Aktivitäten, die bereits Ende Juli durch Sicherheitsforscher von Reliaquest dokumentiert wurden, scheinen auf eine koordinierte Strategie zur Übernahme von Benutzerkonten und zur Spionage abzuzielen.

Funktionsweise der Manipulation

Die Angreifer greifen gezielt in den DNS- und HTTP-Datenverkehr der betroffenen WLAN-Netze ein. Wenn sich Nutzer beispielsweise in einem Hotel-WLAN befinden und versuchen, sich bei ihrem Microsoft-Konto anzumelden, werden sie durch die Manipulationen unbemerkt auf präparierte Phishing-Seiten umgeleitet. Ziel dieser Aktion ist das Abgreifen von Zugangsdaten sowie von Geräte- und OAuth-Codes, die den Hackern die vollständige Übernahme der Konten ermöglichen.

Neben dem reinen Diebstahl von Anmeldedaten setzen die Angreifer auch auf sogenannte „Clickfix“-Methoden. Hierbei wird den Nutzern aktiv Schadsoftware untergeschoben. Ein prominentes Beispiel ist der auf der Programmiersprache Golang basierende Trojaner „Cornflake“. Diese Software ist in der Lage, Tastatureingaben aufzuzeichnen, auf Mikrofone und Webkameras zuzugreifen sowie sensible Daten wie Browser-Cookies und gespeicherte Passwörter zu entwenden.

Schwachstelle Captive-Portale

Die Untersuchungen von Microsoft deuten darauf hin, dass die Angreifer Zugriff auf die Netzwerkausrüstung an den betroffenen Standorten erlangen. Obwohl die genaue Methode des Eindringens in die Infrastruktur noch Gegenstand laufender Ermittlungen ist, wurden Gemeinsamkeiten bei den genutzten Captive-Portalen festgestellt. Diese Portale sind jene Anmeldeseiten, auf denen Nutzer Nutzungsbedingungen akzeptieren müssen, um Zugriff auf das Internet zu erhalten. Es besteht der Verdacht, dass die Hacker Schwachstellen bei den Anbietern dieser Portaldienste ausnutzen, um sich Zugang zu verschaffen.

Hintergrund: Verbindung zu staatlichen Akteuren

Microsoft ordnet die Kampagne, die unter dem Namen „Captivecrunch“ geführt wird, der Hackergruppe Storm-2945 zu. Dabei handelt es sich um eine Untergruppe der bekannten Gruppierung Midnight Blizzard, die in der Vergangenheit bereits mehrfach mit Angriffen auf Microsoft-Dienste in Verbindung gebracht wurde. Midnight Blizzard, auch bekannt als APT29, Cozy Bear oder Nobelium, wird von westlichen Sicherheitsbehörden dem russischen Auslandsgeheimdienst SVR zugerechnet.

Schutzmaßnahmen für Nutzer und Administratoren

Für Administratoren, die öffentliche WLAN-Infrastrukturen verwalten, stellt Microsoft im aktuellen Bericht technische Indikatoren zur Verfügung, mit denen sich die Aktivitäten von Storm-2945 identifizieren und blockieren lassen.

Für Endanwender bleibt die Empfehlung der Sicherheitsexperten bestehen: Die Nutzung öffentlicher WLAN-Zugangspunkte sollte grundsätzlich nur über eine verschlüsselte VPN-Verbindung erfolgen. Durch das VPN wird der Datenverkehr in einen sicheren Tunnel geleitet, wodurch Manipulationen am DNS- oder HTTP-Traffic durch Dritte im lokalen Netzwerk effektiv unterbunden werden können. Angesichts der aktuellen Bedrohungslage ist der Verzicht auf ungesicherte Verbindungen bei sensiblen Anmeldungen dringend anzuraten.