CaptiveCrunch: Wie kompromittierte Hotel-WLANs Microsoft-365-Konten übernehmen

Microsoft Threat Intelligence hat Ende Juli 2026 eine Kampagne beschrieben, die den Reiseablauf von Geschäftsreisenden zum Angriffsweg macht. Sie trägt den Namen CaptiveCrunch. Ziel sind Microsoft-365-Konten von Beschäftigten, die sich in Hotels, Konferenzzentren und anderen Gästenetzen anmelden.

Wie sicher ist das WLAN im Hotel?

So sicher wie das Gerät, das den Gastzugang vergibt. In dieser Kampagne ist es kompromittiert. Das Captive-Portal-Gerät sitzt zwischen jedem Gast und dem Internet, und wer es kontrolliert, bestimmt die Namensauflösung für alle gleichzeitig. Ein einziges Hotel trifft damit die Beschäftigten mehrerer Unternehmen auf einmal.

Wie läuft der Angriff über das Hotel-WLAN ab?

ReliaQuest hat den Ablauf am 23. Juli 2026 beschrieben. Das Gateway ist per DHCP der DNS-Resolver für jeden verbundenen Client. Damit lässt sich jede Anfrage still mit einer Adresse aus der Infrastruktur der Angreifer beantworten. Microsoft beobachtet diese Verkehrsmanipulation seit Anfang Mai 2026.

MITRE führt das Muster seit Jahren als ATT&CK T1557 Adversary-in-the-Middle, mit eigenen Untertechniken für DHCP-Spoofing und Evil Twin. Neu ist der Ort. Die Position in der Mitte muss sich hier niemand mehr erschleichen, das Gästenetz weist den Resolver selbst zu.

Von dort führen drei Wege weiter. Der erste endet auf einer nachgebauten Microsoft-365-Anmeldeseite. Der zweite nutzt den Device-Code-Flow von Microsoft Entra ID. Der Angreifer startet die Anmeldung, das Opfer bestätigt sie, und am Ende hält der Angreifer gültige Token. Ein Passwort muss dabei nicht abgefangen und die Mehr-Faktor-Authentifizierung nicht gebrochen werden. Der dritte Weg zeigt eine gefälschte Browser- oder Systemaktualisierung.

Wer die Aktualisierung ausführt, bekommt eines von zwei Schadprogrammen. CornFlake ist ein in Go geschriebener Fernzugriffstrojaner mit Tastaturmitschnitt, Bildschirmaufnahmen, Audio- und Videoüberwachung und Persistenz. ChocoShell läuft im Arbeitsspeicher und sammelt Browser-Cookies und gespeicherte Passwörter. Dazu kommen Access-, Refresh- und Web-Account-Manager-Token für Microsoft 365 und Azure Active Directory, ausgelesen aus den .tbres-Dateien des Token-Broker-Caches.

Der Tokendiebstahl ist der eigentliche Schaden. Mit gestohlenen Sitzungstoken lässt sich eine Single-Sign-on-Sitzung wiederholen, ohne dass ein Browser-Cookie oder ein Passwort nötig wäre. Ein Passwortwechsel allein beendet den Zugriff dann nicht.

Zwei Einschätzungen, ein Sachverhalt

Bei der Zuordnung gehen die beiden Häuser auseinander. ReliaQuest bewertet das Vorgehen als ähnlich zu APT28. Microsoft ordnet die Aktivität Storm-2945 zu und bewertet diese Gruppe als operativen Teilcluster von Midnight Blizzard, also APT29. Beide Einschätzungen stammen von Teams mit eigener Telemetrie, und beide sind veröffentlicht. Für die Abwehr ändert die Frage nichts, für die Bewertung der Bedrohungslage schon: hier arbeiten staatsnahe Akteure, keine Gelegenheitskriminellen. Wer sich mit dem Muster staatsnaher Kampagnen befasst, findet die Grundlagen unter Advanced Persistent Threat.

Es gibt einen zeitlichen Vorlauf. Derselbe Cluster führt laut Microsoft seit Februar 2026 KI-gestützte Device-Code- und OAuth-Phishing-Kampagnen. Die Übernahme der WLAN-Gateways ab Mai ist eine Erweiterung, kein neuer Anfang. Betroffen sind laut ReliaQuest Gateways in mehreren US-Städten sowie in Indien und Saudi-Arabien, mit Aktivität seit mindestens Juni 2026.

Wie lässt sich Hotel-WLAN sicher nutzen?

ReliaQuest formuliert die wirksamste Maßnahme in einem Satz: ein Always-on-VPN mit Full-Tunnel auf allen Firmengeräten. Entscheidend ist das Detail. Der Tunnel muss beim Verbinden automatisch aufgebaut werden, Internetzugang darf es vorher nicht geben, und Split-Tunneling-Ausnahmen für DNS oder Authentifizierungsverkehr gehören abgeschafft. Läuft auch die Namensauflösung über das Firmennetz, greift die Manipulation am Hotel-Gateway ins Leere. Grundlagen dazu stehen im Wiki-Eintrag zu VPN.

Microsoft ergänzt vier Punkte:

1. Den Device-Code-Flow per Conditional Access sperren, wo er nicht gebraucht wird. Microsoft ist in der eigenen Dokumentation deutlich: der Flow werde von Kunden selten genutzt, von Angreifern dagegen häufig. Es gibt dafür inzwischen eine von Microsoft verwaltete Richtlinie, und die Bedingung heißt im Portal Authentifizierungsflüsse.
2. Auf Passkeys und Mehr-Faktor-Authentifizierung setzen, die gegen Phishing resistent sind.
3. Aktualisierungen ausschließlich über die vorgesehenen Systemmechanismen beziehen, nie über ein Captive Portal.
4. Für die Gäste-WLAN-Registrierung keine Firmen-Zugangsdaten verwenden und so wenig über Person, Arbeitgeber und Reise preisgeben wie möglich.

Einordnung

Der Angriff verschiebt die Grenze dessen, was Beschäftigte selbst erkennen können. Eine Phishing-Mail lässt sich prüfen, eine Absenderadresse auch. Eine DNS-Antwort auf dem Weg zum Anmeldeportal nicht. Die Verantwortung liegt damit stärker bei der Konfiguration der Geräte als bei der Aufmerksamkeit der Reisenden.

Trotzdem bleibt eine Regel, die sich gut vermitteln lässt: Aktualisierungen kommen nie aus einem WLAN-Anmeldefenster. Den Rahmen für solche Regeln liefert die Security Awareness. Praktische Hinweise für unterwegs stehen im Beitrag Unterwegs sicher arbeiten, die technische Seite des eigenen Netzes unter WLAN-Sicherheit im Unternehmen. Wie Angreifer gestohlene Sitzungen weiterverwenden, beschreibt der Eintrag zu Identitätsdiebstahl und Account-Übernahme.