Russische staatlich unterstützte Hacker nutzen kompromittierte Hotel- und Konferenz-WLAN-Netzwerke, um Geschäftsreisende auszuspionieren, so eine neue Studie von Microsoft , die besagt, dass die Kampagne darauf abzielt, Unternehmensdaten zu stehlen und langfristigen Zugang zu Regierungs- und Unternehmensumgebungen zu schaffen.
Anstatt Organisationen direkt anzugreifen, zielen die Bedrohungsakteure auf Mitarbeiter während ihrer Reisen auf und nutzen dabei öffentliche Mobilfunknetze, auf die viele Fachleute während Geschäftsreisen angewiesen sind. Microsoft führt die Aktivität auf Storm-2945 zurück, eine Untergruppe, die mit der russischen Spionageoperation Midnight Blizzard verbunden ist, auch bekannt als NOBELIUM oder Cozy Bear.
Die Kampagne, die Microsoft CaptiveCrunch nennt, ist Berichten zufolge mindestens seit Mai aktiv. Ermittler berichten, dass die Angreifer legitime Captive-Portal-Systeme kompromittieren, also Webseiten, die häufig von Hotels, Konferenzzentren und anderen Veranstaltungsorten genutzt werden, um Gäste vor der Gewährung des Internetzugangs zu authentifizieren.
Sobald ein Opfer sich mit dem Netzwerk verbindet, leiten die Angreifer es darauf um, Microsoft-Anmeldeseiten zu überzeugen oder betrügerische Eingabeaufforderungen anzuzeigen, die sie zur Installation von Windows- oder Browser-Updates ermutigen. Anstelle legitimer Software installieren diese Downloads Malware, die den Angreifern langfristigen Zugriff auf das infizierte Gerät verschafft.
Microsoft sagt, die Kampagne richte sich hauptsächlich an Organisationen in den Vereinigten Staaten und Europa, wobei Regierungen, diplomatische Organisationen, Nichtregierungsorganisationen und IT-Dienstleister zu den Hauptzielen zählen. Indem sie Mitarbeiter während ihrer Reise kompromittieren, können die Angreifer Zugangsdaten erhalten und Aktivitäten überwachen, bevor sie versuchen, tiefer in Unternehmensumgebungen vorzudringen.
Die in der Kampagne beobachtete bösartige Software umfasst CornFlake, einen Fernzugriffs-Trojaner, und ChocoShell, einen PowerShell-basierten Informationsdiebstahl. Laut Microsofts Analyse ist die Malware in der Lage, Microsoft 365-Zugangsdaten, Sitzungscookies, gespeicherte Passwörter und Dateien zu sammeln und gleichzeitig dauerhaften Zugriff auf kompromittierte Systeme zu erhalten. Forscher beobachteten außerdem Funktionen, die es der Malware ermöglichen, Tastenanschläge aufzuzeichnen und in einigen Fällen auf Mikrofone und Kameras zuzugreifen. Microsoft teilte mit, dass während der Operation auch eine begrenzte Anzahl von Android-Geräten ins Visier genommen wurde.
Sicherheitsexperten sind der Ansicht, dass die Kampagne einen umfassenderen Wandel in den Cyber-Spionagetaktiken zeigt. Anstatt sich ausschließlich auf Unternehmensinfrastruktur zu konzentrieren, zielen Angreifer zunehmend auf Umgebungen ab, in denen Mitarbeiter außerhalb des Büros miteinander verbunden sind und möglicherweise weniger vorsichtig sind.
Michael Centrella, Leiter Public Policy bei SecurityScorecard, sagte, dass kompromittierte Gastfreundschaftsnetzwerke zu effektiven Überwachungsplattformen werden können, weil Reisende oft davon ausgehen, dass Hotel-Internetdienste vertrauenswürdig sind. Er stellte fest, dass Angreifer Kommunikation stillschweigend abfangen, Zugangsdaten sammeln und langfristigen Zugriff aufrechterhalten können, ohne sofort Alarme innerhalb der Organisation des Opfers auszulösen. Centrella fügte hinzu, dass öffentliche WLAN-Netzwerke an Flughäfen, Universitäten und Gesundheitseinrichtungen ähnliche Risiken darstellen könnten, falls ihre Captive-Portale kompromittiert würden.
Microsoft empfiehlt, Software-Updates zu vermeiden, die über öffentliche WLAN-Anmeldeseiten oder unerwartete Browser-Pop-ups angeboten werden, und stattdessen Updates nur über vertrauenswürdige Betriebssystemmechanismen zu installieren. Das Unternehmen rät den Nutzern außerdem, vor der Eingabe von Zugangsdaten die Echtheit von WiFi-Login-Portalen zu überprüfen und, wo möglich, unternehmensverwaltete Hotspots oder vertrauenswürdige Mobilfunkverbindungen anstelle öffentlicher Mobilfunknetze zu nutzen.
Für Organisationen empfiehlt Microsoft, Geschäftsreisen als risikoreichere Aktivität zu behandeln, indem phishing-resistente Multi-Faktor-Authentifizierung vorgeschrieben wird, die Nutzung von VPNs in nicht vertrauenswürdigen Netzwerken durchgesetzt wird, verdächtige Kontoaktivitäten überwacht und privilegierten Zugriff für Mitarbeiter während Reisen eingeschränkt wird. Das Unternehmen sagt, dass diese Maßnahmen dazu beitragen können, das Risiko von Diebstahl von Zugangsdaten und langfristiger Kompromittierung zu verringern, falls Angreifer Mitarbeiter außerhalb des Unternehmensnetzwerks ins Visier nehmen.