Cyberspionage CaptiveCrunch: Microsoft warnt vor Malware in Hotels
Veröffentlicht am: 01.08.2026 um 22:22 Uhr | Redaktion boerse-global.de
Microsoft hat am heutigen Samstag neue Sicherheitsrichtlinien veröffentlicht, die darauf abzielen, Unternehmensdaten auf mobilen Endgeräten während der Hauptreisesaison besser zu schützen. Der Softwarekonzern reagiert damit auf eine global agierende Cyberspionage-Kampagne, die gezielt Reisende und die Infrastruktur von Hotels ins Visier nimmt. Die neuen Empfehlungen sollen IT-Abteilungen dabei unterstützen, die Integrität von Firmendaten auch in potenziell unsicheren Netzwerkumgebungen zu gewährleisten.
Analyse der Spionage-Kampagne CaptiveCrunch
Hintergrund der verschärften Sicherheitsvorkehrungen ist die Aufdeckung der Kampagne „CaptiveCrunch“, die bereits seit Anfang Mai 2026 aktiv ist. Laut Microsoft wird diese Operation der Gruppe Storm-2945 zugeschrieben, die als Untercluster der bekannten Akteure von Midnight Blizzard eingestuft wird. Die Angreifer konzentrieren sich demnach weltweit auf die Kompromittierung von Hotel-WLAN-Netzwerken.
Dabei nutzen die Akteure Techniken zur Manipulation von DNS- und HTTP-Verkehr. Ein zentrales Element der Strategie ist das sogenannte Device-Code-Phishing. Diese Methode ermöglicht es den Angreifern, die Multi-Faktor-Authentifizierung (MFA) zu umgehen, indem Nutzer dazu verleitet werden, einen Zugriffscode auf einer manipulierten Website einzugeben. Das Sicherheitsunternehmen ReliaQuest bestätigte die Aktivitäten dieser Kampagne und konnte seit Juni verstärkte Vorfälle in verschiedenen US-Städten beobachten.
Methodik der Angreifer und technische Indikatoren
Wer sich mit der Absicherung geschäftlicher Kommunikation und sensibler Zugänge befasst, sollte die psychologischen Tricks moderner Phishing-Kampagnen kennen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man sie effektiv entlarvt. 7 psychologische Schwachstellen im Gratis-Report entdecken
Die Kampagne setzt auf spezialisierte Schadsoftware, um unbefugten Zugriff auf Zielsysteme zu erhalten und Informationen zu exfiltrieren. Identifiziert wurden dabei unter anderem das Werkzeug „CornFlake“, ein in der Programmiersprache Go geschriebener Remote Access Trojaner (RAT), sowie „ChocoShell“, ein auf PowerShell basierender Infostealer.
Microsoft stellte im Rahmen der Veröffentlichung konkrete technische Indikatoren (Indicators of Compromise, IoC) bereit, um Unternehmen bei der Identifizierung potenzieller Kompromittierungen zu unterstützen. Zu den auffälligen Domains gehören ms365-device.com, ms365-live.com, m365-owa.com und owa-ms365.com. Zudem wurden folgende IP-Adressen als Teil der Angriffsinfrastruktur identifiziert:
- 31.57.243.154
- 38.146.28.75
- 107.189.26.194
Für die forensische Analyse wurden zudem spezifische Datei-Hashes der eingesetzten Malware veröffentlicht. Der Hash für CornFlake lautet 918fa52ae45ed60ba7cc8bdc99c3cbe9ab92e0375ec31fc05d0d4513be11c593, während für ChocoShell der Wert be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c registriert wurde.
Handlungsempfehlungen für die IT-Sicherheit
Angesichts der zunehmenden Professionalisierung von Cyberangriffen müssen Unternehmen ihre Abwehrstrategien proaktiv anpassen und Sicherheitslücken schließen. Dieses Gratis-E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt praxisnahe Schutzmaßnahmen für die langfristige Absicherung. Kostenloses E-Book zum Schutz vor Cyberangriffen herunterladen
Um den beschriebenen Bedrohungen zu begegnen, rät Microsoft Unternehmen zur Implementierung robusterer Schutzmaßnahmen für ihre mobilen Belegschaften. Eine der zentralen Empfehlungen ist der Einsatz von Full-Tunnel-VPN-Lösungen, die den gesamten Datenverkehr verschlüsselt durch die Unternehmensinfrastruktur leiten und so die Manipulation in lokalen Hotelnetzwerken verhindern.
Des Weiteren wird dazu geraten, den sogenannten Device-Code-Flow systemseitig zu blockieren, sofern dieser nicht zwingend für den Geschäftsbetrieb erforderlich ist. Dies entziehe der aktuellen Phishing-Welle die technische Grundlage. Als langfristige Strategie empfiehlt Microsoft zudem den Übergang zu phishing-resistenten MFA-Lösungen, um Identitätsdiebstahl durch manipulierte Anmeldeseiten wirksam zu unterbinden. Die Experten von ReliaQuest stützen diese Einschätzung und betonen die Notwendigkeit einer erhöhten Wachsamkeit während der Sommermonate, in denen die mobile Nutzung von Geschäftsgeräten statistisch zunimmt.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
