Geschäftsreisen: Microsoft warnt vor CaptiveCrunch-Malware in Hotels

Microsoft reagiert auf eine zunehmende Bedrohungslage für Geschäftsreisende und hat am 7. August 2026 einen Bericht mit aktualisierten Sicherheitsprotokollen vorgelegt. Die neuen Richtlinien richten sich an Fachkräfte, die über öffentliche Hotspots auf Unternehmensnetzwerke zugreifen, um das Risiko von Datenpannen in unsicheren Umgebungen zu minimieren. Hintergrund der Veröffentlichung ist eine globale Angriffswelle, die gezielt Infrastrukturen in Hotels und an Verkehrsknotenpunkten ausnutzt.

Die CaptiveCrunch-Kampagne im Visier

Der Technologieriese warnt in seinem Bericht explizit vor der sogenannten CaptiveCrunch-Kampagne. Diese operiert weltweit und nimmt gezielt WLAN-Netzwerke in Hotels, Konferenzzentren und Flughäfen unter Beschuss. Nach Analysen von Microsoft ist die Bedrohungsgruppe Storm-2945 für diese Angriffe verantwortlich. Bei dieser Gruppe handelt es sich um ein Sub-Cluster des Akteurs Midnight Blizzard.

Die Aktivitäten von Storm-2945 lassen sich bis in den Mai 2026 zurückverfolgen. Die Gruppe hat sich darauf spezialisiert, Hotel-WLAN-Zugänge zu kapern. Dabei nutzt die CaptiveCrunch-Malware eine raffinierte Methode: Sie leitet die sogenannten Captive-Portale – jene Anmeldeseiten, die beim Verbinden mit öffentlichen Netzwerken erscheinen – auf gefälschte Update-Seiten um. Ziel dieser Täuschung ist der Diebstahl von Anmeldedaten reisender Mitarbeiter.

Technische Analyse der Angriffskette

Die Angreifer setzen bei CaptiveCrunch auf eine Kombination verschiedener Werkzeuge. Die Angriffskette nutzt unter anderem das Fernzugriffstool Go RAT sowie einen speziell entwickelten PowerShell-Credential-Stealer. Die Kriminellen verwenden dabei Techniken wie Phishing, ClickFix und sogenannte Man-in-the-Middle-Angriffe, um sich zwischen den Nutzer und den Dienst zu schalten.

Innerhalb der kompromittierten Netzwerke werden gezielt Microsoft-365-Anmeldedaten über Phishing-Seiten und gefälschte Pop-up-Fenster abgegriffen. Eine wesentliche Schwachstelle bei diesen Angriffen stellt laut Microsoft ein bisher oft nicht gepatchter WLAN-Treiber dar. Die Sicherheitslücke mit der Bezeichnung CVE-2024-30078 ermöglicht es den Angreifern, Schadcode auf den Geräten der Opfer auszuführen. Das Sicherheitsunternehmen ReliaQuest bestätigte die Ergebnisse der Microsoft-Analyse zur CaptiveCrunch-Kampagne.

Wer sich mit dem Schutz geschäftlicher Daten befasst, sollte die Risiken mobiler Arbeitsplätze kennen. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Blick behalten müssen. Cyber Security Trends für Unternehmen gratis lesen

Erweiterte Gefahren durch Forest Blizzard

Zusätzlich zur CaptiveCrunch-Thematik warnt Microsoft vor den Aktivitäten der Gruppe Forest Blizzard, die auch unter dem Namen APT28 bekannt ist. Diese Akteure setzen in Hotels verstärkt auf sogenannte Evil-Twin-Zugangspunkte. Dabei handelt es sich um gefälschte WLAN-Stationen, die den Namen eines vertrauenswürdigen Netzwerks imitieren.

Forest Blizzard nutzt dabei fortgeschrittene Techniken wie TLS-Stripping, WebView-Injection und DNS-Spoofing. Diese Angriffe richten sich primär gegen sensible Sektoren, darunter Verteidigungs- und Regierungseinrichtungen sowie Unternehmen aus dem Energiesektor. Ziel ist es auch hier, die verschlüsselte Kommunikation zu unterwandern und Zugriff auf vertrauliche Informationen zu erhalten.

Die beschriebenen Methoden der Cyberkriminellen verdeutlichen, wie wichtig eine proaktive Absicherung der IT-Infrastruktur heute ist. Ein kostenloses E-Book zeigt Ihnen, wie Sie Sicherheitslücken effektiv schließen und Ihr Unternehmen vor modernen Angriffswellen schützen. Gratis-E-Book zur Cyber-Sicherheit anfordern

Handlungsempfehlungen für Fachkräfte

Um den identifizierten Gefahren zu begegnen, enthält der Bericht von Microsoft eine Reihe von konkreten Sicherheitsmaßnahmen für die mobile Arbeit. Der Konzern empfiehlt Fachkräften, nach Möglichkeit auf öffentliche WLAN-Netzwerke vollständig zu verzichten und stattdessen persönliche Hotspots oder Mobilfunkverbindungen zu nutzen.

Sollte die Nutzung eines öffentlichen Netzwerks unumgänglich sein, sei der Einsatz eines VPN (Virtual Private Network) mit integriertem Kill-Switch zwingend erforderlich. Microsoft rät zudem dringend davon ab, Downloads über Captive-Portale zu starten oder Anmeldedaten in Formulare einzugeben, die innerhalb öffentlicher Netzwerke erscheinen. Vor Antritt einer Dienstreise sollten alle Geräte-Updates installiert werden, um bekannte Sicherheitslücken wie CVE-2024-30078 zu schließen.

de | wissenschaft | 69926261 |