CaptiveCrunch macht das Hotel-WLAN zur Malware-Schleuse

CaptiveCrunch manipuliert das Hotel-WLAN und DNS. Volltunnel, Exit-Node, eigener Resolver und Kill-Switch schützen vor gefälschten Updates.

CaptiveCrunch: die Täter und ihre Vorgehensweise

Internet-Zugang nur per PowerShell-Befehl oder infizierte APK?

CaptiveCrunch nutzt eine echte Microsoft-Website mit falschem Code

Midnight Blizzard hat es auf Firmen-Notebooks abgesehen

Nach Messeschluss wartet das normale Hotelnetz

Die Schadsoftware wird zunächst im Hotel-WLAN-Netz aktiv

Auch das Hotelzimmer bleibt ein Risiko

Sensible Daten bleiben besser zu Hause

Tailscale ohne Exit-Node reicht nicht aus

Ein Kill-Switch bleibt im Kampf gegen CaptiveCrunch elementar

Mobilfunk bleibt die einfachste Lösung

Das WLAN und die Anmeldeseite sind echt. Nur das Gateway gehört inzwischen jemand anderem. Die Cyberangriffskampagne CaptiveCrunch nutzt diesen Zugang, um Hotelgäste auf gefälschte Updates und präparierte Anmeldeseiten umzuleiten.

CaptiveCrunch: die Täter und ihre Vorgehensweise

Das Bedrohungsanalyse-Team von Microsoft Threat Intelligence beobachtet die Kampagne seit Anfang Mai diesen Jahres. Davon betroffen sind Hotels, Konferenzzentren und andere Gebäude mit Captive Portals, als vorgeschaltete Anmeldeseiten für den WLAN-Zugang. Microsoft nennt als Verantwortlichen die Untergruppe Storm-2945 von Midnight Blizzard, also wahrlich keine unbekannten Täter. Das Ganze hat übrigens trotz des ähnlichen Namens nichts mit den bekannten Frühstücksflocken oder dem in die Jahre gekommenen Hacker John Draper (Cap’n Crunch) gemeinsam, der in den späten 1960-Jahren in den USA das kostenlose wie illegale Telefonieren (Blue Boxing) bekannt gemacht hat.

Der Angriff von CaptiveCrunch beginnt nicht erst auf dem Laptop, sondern viel früher, bereits am Hotel-Gateway. Nach der Verbindung weist es dem Gerät die Netzwerkkonfiguration und meist auch den dazugehörigen DNS-Resolver zu. Kontrolliert ein Angreifer diesen Zugangspunkt, kann er Anfragen nach legitimen Domains auf seinen eigenen Server umleiten.

Automatische Verbindungstests von Windows und verschiedenen Browsern helfen dabei unbewusst mit. Nach dem Verbindungsaufbau prüfen sie, ob das Internet erreichbar ist oder ob noch ein Captive Portal wartet. CaptiveCrunch liefert statt der erwarteten Antwort ein angeblich notwendiges Browser-, Treiber- oder Windows-Update.

Internet-Zugang nur per PowerShell-Befehl oder infizierte APK?

Einige Varianten arbeiten mit dem schon lange einschlägig bekannten ClickFix. Die präparierte Webseite fordert den Nutzer auf, einen kopierten Befehl in PowerShell oder einem anderen Windows-Werkzeug auszuführen. Davon kann man grundsätzlich nur abraten! Für Android gibt es zudem Hinweise auf angebliche APK-Downloads, die benötigt werden um ins Internet zu kommen.

Wer sich mit solchen Angriffen beschäftigt, dürfte den eilig ausgeworfenen Köder schnell erkennen. Darauf ist die Kampagne aber gar nicht angewiesen. In einem gut belegten Hotel reichen wenige Gäste, die das vermeintliche Update installieren oder ihre Zugangsdaten auf einer präparierten Seite eingeben.

Das Cybersicherheitsunternehmen ReliaQuest hat solche manipulierten Gateways in Hotels, Konferenzzentren und anderen gemeinsam genutzten Netzwerken entdeckt. Einige brachten Windows dazu, automatisch einen von den Angreifern kontrollierten Proxy zu verwenden. Anschließend lief der Datenverkehr verschiedener Programme noch noch über deren Infrastruktur.

CaptiveCrunch nutzt eine echte Microsoft-Website mit falschem Code

CaptiveCrunch muss nicht einmal Schadsoftware auf dem jeweiligen Rechner installieren. Die Kampagne leitete Nutzer auch auf echte Microsoft-Seiten zur Anmeldung per Gerätecode weiter. Der dort angezeigte Code gehörte allerdings zu einer Sitzung des Angreifers. Wer sich damit anmeldete und die Mehrfaktorabfrage bestätigte, verschaffte dem Angreifer unwissentlich Zugriff auf das eigene Konto.

Wer stattdessen das vermeintliche Update ausführte, konnte sich „CornFlake” einfangen. Der in Go geschriebene Windows-Trojaner kopierte sich ins Benutzerprofil und tarnte sich dort als Cloud-Synchronisierungsdienst. Mehrere Autostart-Einträge hielten ihn im System. Wurde einer davon entfernt, stellte ein Watchdog ihn wieder her und „CornFlake” konnte weiter sein Unwesen treiben.

Anschließend protokollierte der Trojaner Tastatureingaben, las die Zwischenablage aus und erstellte Bildschirmaufnahmen. Auch auf das Mikrofon, die Webcam, die Browser-Sitzungen, die Dateien und die angeschlossenen USB-Laufwerke konnte er zugreifen. Über eine entfernte Kommandozeile konnten die Angreifer zudem gezielt Befehle auf dem infizierten Rechner ausführen.

Midnight Blizzard hat es auf Firmen-Notebooks abgesehen

Zusätzlich kam häufig ChocoShell zum Einsatz. Der PowerShell-Infostealer lief direkt im Arbeitsspeicher und........

© Tarnkappe