Hotel-WLAN-Angriffe: APT28 stiehlt Microsoft-365-Zugänge seit Juni

Cybersicherheitsexperten des Unternehmens ReliaQuest haben eine umfassende Spionagekampagne aufgedeckt, die gezielt die WLAN-Infrastruktur in Hotels ausnutzt. Seit Juni dieses Jahres werden dabei sogenannte Captive-Portal-Appliances in den USA, Indien und Saudi-Arabien kompromittiert, um den Datenverkehr von Hotelgästen zu manipulieren. Ziel der Angreifer ist der Diebstahl von Zugangsdaten für Microsoft 365 durch technisch versierte Umleitungen.

Manipulation von Anmeldeseiten und DNS-Vergiftung

Im Zentrum der Angriffe steht die sogenannte DNS-Vergiftung (DNS Poisoning). Die Hintermänner verschaffen sich Zugriff auf die Gateway-Systeme der Hotel-WLAN-Netzwerke, welche üblicherweise die Vorschaltseiten zur Anmeldung (Captive Portals) steuern. Durch die Manipulation dieser Systeme wird der Netzwerkverkehr für legitime Microsoft 365-Login-Anfragen auf gefälschte Domänen umgeleitet.

Zu den identifizierten betrügerischen Webadressen gehören unter anderem m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com sowie ms365-live[.]com. Diese Domänen sind so gestaltet, dass sie die offiziellen Anmeldeseiten von Microsoft täuschend echt imitieren, um Nutzer zur Eingabe ihrer Anmeldedaten zu bewegen. Die Kampagne zeichnet sich durch eine hohe geografische Fokussierung aus und betrifft insbesondere Reisende in wirtschaftlich und politisch bedeutenden Regionen.

Umgehung der Multifaktor-Authentisierung

Ein besonders kritisches Element der Kampagne ist die Methode zur Umgehung der Multifaktor-Authentisierung (MFA). ReliaQuest berichtete, dass die Angreifer den sogenannten Device Code Flow nutzen. Hierbei werden die Opfer dazu verleitet, OAuth-Tokens zu genehmigen, die zuvor vom Angreifer initiiert wurden. Sobald ein Nutzer diesen Prozess auf der gefälschten Seite autorisiert, erhalten die Akteure Zugriff auf das Konto, ohne das eigentliche Passwort oder den zweiten Faktor im klassischen Sinne entwenden zu müssen.

Die beschriebenen Angriffe zeigen, wie leicht herkömmliche Login-Verfahren im Home-Office oder auf Reisen manipuliert werden können. Datenschutz-Experten warnen vor diesen unterschätzten Risiken und bieten praktische Hilfestellungen für sicheres Arbeiten von unterwegs. Sicherheits-Strategien und Vorlagen für mobiles Arbeiten jetzt kostenlos verfügbar

Zusätzlich beobachteten die Sicherheitsanalysten in etwa einem Drittel der untersuchten Fälle Versuche, das Web Proxy Auto-Discovery Protocol (WPAD) zu missbrauchen. Diese Technik ermöglicht es, den Datenverkehr eines infizierten Systems noch präziser über kontrollierte Server umzuleiten und so die Entdeckungswahrscheinlichkeit zu verringern.

Betroffene Branchen und Urheberschaft

Die Angriffe richten sich nach Erkenntnissen der Forscher nicht gegen Zufallsopfer, sondern folgen einem klaren Branchenfokus. Besonders betroffen sind Unternehmen aus den Bereichen Finanzdienstleistungen, Rechtsberatung, Gesundheitswesen und Energie. Auch der Einzelhandel sowie professionelle Dienstleister stehen im Visier der Akteure.

Die Experten von ReliaQuest bringen die Kampagne mit der Gruppierung APT28 in Verbindung. Diese Einheit wird seit Jahren mit staatlich motivierten Cyberoperationen assoiiert und ist für ihre komplexen Angriffsmethoden bekannt. Die Wahl von Hotelnetzwerken als Angriffsvektor deutet darauf hin, dass gezielt Geschäftsreisende und Entscheidungsträger während ihrer Auslandsaufenthalte kompromittiert werden sollen.

Um Unternehmen vor solch gezielten Angriffen auf mobile Mitarbeiter zu schützen, sind klare Richtlinien und rechtssichere Maßnahmen unerlässlich. Dieser kostenlose Guide zeigt Ihnen in drei einfachen Schritten, wie Sie die Sicherheit außerhalb des Büros deutlich erhöhen. Endlich: Rechtssicheres Home-Office und mobiles Arbeiten in 3 Schritten einrichten

Empfehlungen zur Schadensbegrenzung

Um sich gegen diese Form der Netzwerkmanipulation zu schützen, raten Experten zu verstärkten Sicherheitsvorkehrungen für mobiles Arbeiten. Ein wesentlicher Schutzfaktor sei der konsequente Einsatz von Full-Tunnel-VPN-Lösungen, die den gesamten Datenverkehr verschlüsselt an den Hotel-Gateways vorbeileiten. Zudem wird die Nutzung von verschlüsseltem DNS in einem strikten Modus empfohlen, um DNS-Vergiftungen bereits auf Protokollebene zu verhindern.

Unternehmen sollten zudem prüfen, ob die Funktion des Device Code Flow für ihre Mitarbeiter deaktiviert werden kann, sofern diese im geschäftlichen Alltag nicht zwingend erforderlich ist. Durch diese Maßnahme ließe sich die primäre Methode zur MFA-Umgehung in dieser Kampagne wirkungsvoll blockieren.

de | wissenschaft | 69877385 |