Die WLAN-Anmeldeseite in der Hotellobby ist der harmloseste Bildschirm, den ein Reisender den ganzen Tag sieht. Microsoft hat jetzt beschrieben, was passiert, wenn diese Seite dem russischen Auslandsgeheimdienst gehört: die Kampagne CaptiveCrunch läuft seit Anfang Mai 2026, Captive Portale in Hotels und Konferenzzentren leiten Gäste über die Infrastruktur der Angreifer und liefern Schadsoftware als vermeintliches Browser-Update aus.
Wer dahintersteckt
Microsoft Threat Intelligence schreibt die Operation Storm-2945 zu, einer neuen Untergruppe von Midnight Blizzard, auch bekannt als APT29 oder Cozy Bear, die von den USA und Grossbritannien dem russischen Auslandsgeheimdienst SVR zugerechnet wird. Ziel sind Geschäftsreisende: Netze der Hotellerie in mehreren Ländern, gewählt aus einem simplen Grund - dort verbinden sich die interessanten Laptops.
Wie der Angriff funktioniert
Die Kette ist kurz und braucht keine Lücke in Ihrem Gerät:
- Das Portal ist der Mittelsmann. Ist das Hotelnetz kompromittiert, manipuliert das Captive Portal DNS- und HTTP-Verkehr und schickt Gäste über Infrastruktur der Angreifer.
- Der Köder ist ein Update. Statt der üblichen Seite "Sie sind verbunden" erscheint eine überzeugende Aufforderung, ein Browser- oder Systemupdate zu installieren - im ClickFix-Stil, bei dem der Nutzer selbst ein Kommando oder Skript ausführen soll.
- Danach zwei Nutzlasten. CornFlake ist ein in Go geschriebenes Fernwartungstrojaner für Windows: Tastatur- und Zwischenablage-Mitschnitt, Screenshots, Audio- und Videoaufnahme, Diebstahl von Browser-Zugangsdaten und eine Remote-Shell. ChocoShell ist ein PowerShell-Stealer im Arbeitsspeicher: Cookies, gespeicherte Passwörter, Microsoft-365-SSO-Token und WLAN-Zugangsdaten.
Die Microsoft-365-Token sind der eigentliche Zweck. Mit einem gültigen Sitzungstoken braucht es kein Passwort, und der zweite Faktor greift nicht: der Angreifer setzt Ihre Sitzung auf seinem eigenen Rechner fort.
Warum die üblichen Ratschläge hier versagen
"Achten Sie auf das Schloss" hilft nicht, denn die Phishing-Seite kommt über HTTPS mit eigenem gültigem Zertifikat. "Laden Sie nichts von seltsamen Seiten" hilft ebenso wenig, denn die Update-Aufforderung erscheint genau auf der Seite, die Sie erwartet haben. Der Angreifer kontrolliert den ersten Netzknoten - die eine Stelle, für die Ihr Laptop nichts prüfen kann.
Was Microsoft empfiehlt
- Wo möglich die eigene Verbindung statt öffentlichem WLAN nutzen: Handy-Hotspot oder ein vom Unternehmen verwalteter Travel-Router.
- Niemals Updates installieren, die ein Captive Portal anbietet, und keine Befehle einfügen, die es vorschlägt.
- Passwortlose Anmeldung und phishing-resistente Mehrfaktor-Authentifizierung nutzen, Device Code Flow möglichst organisationsweit sperren.
Wo ein VPN wirklich hilft und wo nicht
Ein Tunnel, der steht, bevor der Browser öffnet, nimmt dem Angreifer den Hebel: DNS-Anfragen werden im Tunnel aufgelöst, und das Portal entscheidet nicht mehr, wohin Ihr Verkehr geht. Genau dieser Bruch trägt die Kampagne, und genau ihn schliesst ein verschlüsselter Kanal.
Die Reihenfolge zählt mehr als die Marke. Das Captive Portal muss zuerst passiert werden, und in diesem Fenster passiert die Manipulation. Sicher ist deshalb: verbinden, nichts annehmen, Tunnel aufbauen, erst dann arbeiten. Im Nachhinein hilft kein Tunnel: wer das "Update" ausgeführt hat, hat die Schadsoftware auf dem Rechner, und Verschlüsselung ändert daran nichts.
