Microsoft warnt davor , dass WLAN-Netzwerke in Hotels, Konferenzzentren und anderen Einrichtungen des Gastgewerbes aktiv von einer russischen Gruppe missbraucht werden, um Reisende weltweit ins Visier zu nehmen. Die Kampagne mit dem Namen „CaptiveCrunch“ nutzt den routinemäßigen WLAN-Login, um Unternehmenskonten und -geräte zu kompromittieren.
Aus Nutzersicht scheint alles normal: Sie verbinden sich mit dem Hotel-WLAN, erhalten die übliche Anmeldeaufforderung und sehen möglicherweise eine bekannte Meldung, dass sie etwas aktualisieren müssen, bevor sie im Internet surfen können. Doch im Hintergrund positioniert sich die mutmaßlich staatlich verbundene Gruppe im Netzwerkpfad und manipuliert den DNS- (Domain Name System) und HTTP-Verkehr des WLAN-Netzwerks.
Von da an können verschiedene Dinge geschehen:
- Anmeldedaten werden gestohlen : Die Browsersitzung des Benutzers wird auf vom Angreifer kontrollierte Phishing-Seiten umgeleitet, wie z. B. gefälschte Microsoft-Anmeldeaufforderungen, wo Anmeldeinformationen, Gerätecodes oder OAuth-Tokens abgegriffen werden.
- Es wird Schadsoftware heruntergeladen : Dem Benutzer werden gefälschte Update- oder ClickFix -Dialogfelder angezeigt, die Schadsoftware herunterladen. In diesen Fällen handelt es sich in der Regel um einen Remote-Access-Trojaner (RAT) und einen Infostealer.
- Bei einem Machine-in-the-Middle-Angriff (MitM) wird der Datenverkehr unbemerkt über die Infrastruktur des Angreifers umgeleitet, wodurch der Benutzer einem weiteren Diebstahl von Zugangsdaten ausgesetzt ist.
Berichten zufolge handelt es sich bei einer der wichtigsten Malware-Varianten, die bei diesen Angriffen eingesetzt werden, um einen sogenannten CornFlake, einen Remote-Access-Trojaner (RAT), der Webcam-Bilder, Mikrofon-Audio und Tastatureingaben aufzeichnen kann.
Der Infostealer wurde als ChocoShell identifiziert, ein dateiloser, auf PowerShell basierender Informationsdieb, der es vor allem auf Browser-Session-Cookies, gespeicherte Passwörter, Microsoft 365 Single Sign-On (SSO)-Token und Wi-Fi-Anmeldeinformationen von kompromittierten Systemen abgesehen hat.
Microsoft listet eine Reihe gefälschter Dialogfelder auf, die nach der Verbindung mit einem kompromittierten WLAN-Netzwerk erscheinen können:
- winupdate: Ein gefälschter Windows Update-Fenster mit der Meldung „Aktualisierungen werden durchgeführt… Schalten Sie Ihren Computer nicht aus.“
- Verteidiger: Ein Betrüger Windows Sicherheits-Virenscan.
- directx: „DirectX End-User Runtime Web Installer“.
- vcredist: Ein Microsoft Visual C++ Redistributable Installer.
- sysopt: Ein Dienstprogramm zur Festplattenoptimierung.
- netfix: A Windows Netzwerkdiagnose-„Reparatur“-Tool.
- Browser: Eine Browser-Update-Aufforderung.
- pdfview: Ein Installationsprogramm für einen Dokumenten-/PDF-Viewer.
Wie man sicher bleibt
Malwarebytes warnt schon lange vor der Sicherheit öffentlicher WLAN-Netze. So können Sie auf Reisen sicher bleiben:
- Nutzen Sie den Hotspot Ihres eigenen Smartphones anstatt des öffentlichen WLANs. Eine mobile Verbindung, insbesondere mit einer eSIM und einem seriösen Anbieter, verringert das Risiko eines Angriffs im Vergleich zu einem unbekannten Hotelnetzwerk erheblich.
- Falls Sie gezwungen sind, öffentliches WLAN zu nutzen, verwenden Sie ein VPN mit aktiviertem Kill Switch: Schließen Sie zuerst die Authentifizierung im Hotelportal ab und starten Sie dann Ihr VPN. VPN Bevor Sie eine Website oder App öffnen, blockiert die Kill-Switch-Funktion sofort den gesamten Internetverkehr. VPN Selbst eine kurze Unterbrechung der Verbindung, beispielsweise für eine Sekunde, verhindert, dass Cyberkriminelle Schadcode ungeschützt einschleusen. CaptiveCrunch arbeitet mit Captive Portals und Pre- VPN fließt, ein VPN reduziert dennoch andere Risiken und begrenzt die passive Datenerfassung, sobald man online ist.
- Überprüfen Sie stets das Zertifikat jedes öffentlichen WLAN-Zugangsportals oder „Sicherheitsportals“, das mehr als nur eine Raumnummer oder grundlegende Anmeldedaten verlangt. Diese sind zwar nicht immer eindeutig, können aber manchmal ein klares Indiz sein: Nicht übereinstimmende Hostnamen, nicht vertrauenswürdige Aussteller oder unverschlüsseltes HTTP sind Warnsignale, die Sie vom Fortfahren abhalten sollten.
- Viele Captive Portals verlangen zur Registrierung oder für Marketingzwecke eine E-Mail-Adresse. Selbst in harmlosen Fällen ist es wenig sinnvoll, Ihre echte E-Mail-Adresse preiszugeben. Falls Sie unbedingt eine Adresse angeben müssen, verwenden Sie am besten eine fiktive oder eine Wegwerf-E-Mail-Adresse, die nichts mit Ihren Hauptkonten zu tun hat.
- Wenn Sie aufgefordert werden, Software, ein Zertifikat, ein Browser-Update oder ein Reparaturtool herunterzuladen, um eine Verbindung herzustellen, brechen Sie den Vorgang ab. Sie sollten niemals etwas herunterladen müssen, nur um sich in ein WLAN-Netzwerk einzuloggen.
- Folgen Sie Anweisungen auf Webseiten oder Eingabeaufforderungen nicht übereilt, insbesondere wenn Sie aufgefordert werden, Befehle auf Ihrem Gerät auszuführen oder Code zu kopieren und einzufügen. Seien Sie vorsichtig bei Seiten, die zu sofortigem Handeln drängen: Raffinierte ClickFix-Seiten verwenden Countdowns, Benutzerzähler oder andere Druckmittel, um Sie zu schnellem Handeln zu bewegen.
- Schützen Sie Ihre Geräte. Verwenden Sie eine aktuelle Echtzeit -Antimalware-Lösung mit Webschutzkomponente.
- Geben Sie Ihre Anmeldedaten für Microsoft 365, Google Workspace oder andere sensible Daten niemals direkt auf Seiten ein, die Sie über eine Umleitung durch ein Captive Portal erreichen. Wenn Sie Ihre Firmen-E-Mails abrufen müssen, verwenden Sie bekannte URLs, anstatt auf entsprechende Eingabeaufforderungen zu klicken.
Und nicht zuletzt sollten Sie vor Ihrer Reise Ihren Browser, Ihr Betriebssystem und andere wichtige Software aktualisieren. Dadurch verringert sich die Wahrscheinlichkeit, dass Sie während Ihrer Abwesenheit berechtigte Update-Anfragen erhalten.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.
