Microsoft warnt vor Storm-2945 Fake-WLAN-Angriff auf Reisende

Microsoft warnt vor einer neuen Fake-WLAN-Angriffskampagne

Microsoft gab am 31. Juli eine Warnung vor einer Hackergruppe namens Storm-2945 heraus, die das Unternehmen als Untergruppe von Midnight Blizzard identifiziert, einem mit Russland verbundenen Bedrohungsakteur mit einer langen Geschichte staatlich ausgerichteter Cyberoperationen. Laut Microsoft führt Storm-2945 derzeit eine Angriffskampagne durch, die gefälschte WLAN-Anmeldeseiten nutzt, um Geschäftsreisende weltweit ins Visier zu nehmen.

Während Microsofts Offenlegung sich noch entwickelt, ist der Kerngedanke klar: Angreifer nutzen den Moment, in dem Reisende sich mit öffentlichen oder Hotel-WLAN-Netzen verbinden, um mit täuschenden Anmeldeportalen Geräte zu kompromittieren oder Zugangsdaten zu stehlen. Es ist nicht das erste Mal, dass Microsoft einen Eindringling einer mit Russland verbundenen Gruppe zuordnet; das Unternehmen führte auch den Ransomware-Angriff auf das Thialf-Eisstadion auf eine separate Bedrohungsgruppe zurück, was unterstreicht, wie häufig Microsofts Threat-Intelligence-Team diese Akteure nun öffentlich benennt und verfolgt.

Wie ein gefälschter WLAN-Anmeldeangriff typischerweise funktioniert

Gefälschte WLAN-Anmeldeseiten, manchmal als „Evil-Twin“-Angriffe oder bösartige Captive Portale bezeichnet, beruhen auf einem einfachen Trick: Sie ahmen den legitimen Anmeldebildschirm nach, den ein Reisender in einer Flughafen-Lounge, einem Hotel oder einem Konferenzort erwartet. Anstatt sich mit dem echten Netzwerk zu verbinden, tritt das Gerät des Opfers einem vom Angreifer kontrollierten Netz bei oder wird über ein gefälschtes Portal umgeleitet, das so gestaltet ist, dass es dem echten identisch sieht.

Von da an kann der Angreifer die auf der gefälschten Seite eingegebenen Anmeldedaten abgreifen, unverschlüsselten Datenverkehr abfangen oder versuchen, Schadsoftware auf das verbundene Gerät zu übertragen. Da Geschäftsreisende oft schnell online gehen müssen, um E-Mails zu checken oder an einem Anruf teilzunehmen, sind diese gefälschten Portale darauf ausgelegt, sich nahtlos einzufügen und keinen Verdacht zu erregen. Die Taktik erfordert keine ausgeklügelte Malware oder eine Softwareschwachstelle; sie nutzt das Vertrauen in einen vertrauten, alltäglichen Ablauf aus.

Dies ist ein Grund, warum Bedrohungsgruppen, die mit staatlich gesponserten Operationen in Verbindung stehen, wie die hinter Midnight Blizzard, weiterhin in diesen Ansatz investieren. Er ist kostengünstig, skalierbar und wirksam gegen eine Bevölkerungsgruppe – Geschäftsreisende –, die sich häufig zwischen nicht vertrauenswürdigen Netzwerken bewegt und wertvollen Zugang zu Unternehmenssystemen, interner Kommunikation oder sensiblen Projekten hat.

Warum Geschäftsreisende ein bevorzugtes Ziel sind

Geschäftsreisende sind aus mehreren Gründen attraktive Ziele. Sie verbinden sich häufig mit Netzwerken, die sie weder kontrollieren noch überprüfen können, sie hantieren oft mit mehreren Geräten und Konten und stehen möglicherweise unter Zeitdruck, der es weniger wahrscheinlich macht, dass sie eine Anmeldeseite genau prüfen. Für eine mit Russland verbundene Gruppe, die auf Spionage oder Informationssammlung fokussiert ist, kann die Kompromittierung einer reisenden Führungskraft, eines Diplomaten oder Forschers einen Zugang zum weiteren Netzwerk einer Organisation bieten, selbst wenn das zunächst kompromittierte Gerät nicht das Endziel ist.

Diese Kampagne spiegelt auch einen breiteren Trend wider: Bedrohungsakteure bevorzugen zunehmend Erstzugangsmethoden, die traditionelle Netzwerkverteidigungen vollständig umgehen. Statt eine Sicherheitslücke in Unternehmenssoftware oder einem VPN-Client auszunutzen, wie in Fällen wie der IKE-Schwachstelle, die Windows-VPN-Dienste betrifft, zielen Angriffe wie dieser auf die menschliche Entscheidung ab, in einem unbekannten Netzwerk auf „Verbinden“ zu klicken. Das macht Bewusstsein und grundlegende betriebliche Hygiene genauso wichtig wie technisches Patchen.

Was das für Sie bedeutet

Wenn Sie geschäftlich reisen, auch nur gelegentlich, ist diese Warnung eine Erinnerung daran, dass öffentliche WLAN-Netzwerke, insbesondere in Flughäfen, Hotels und Konferenzzentren, grundsätzlich als nicht vertrauenswürdig behandelt werden sollten. Sie müssen keine hochkarätige Führungskraft sein, um in eine solche Kampagne hineingezogen zu werden; Angreifer, die ein weites Netz an einem Veranstaltungsort auswerfen, können jeden kompromittieren, der sich verbindet, und später herausfiltern, wer wertvoll ist.

Die gute Nachricht ist, dass die Abwehr gegen diese Art von Angriff einfach ist und keine speziellen Sicherheitstools erfordert. Die Netzwerknamen direkt beim Personal vor Ort zu verifizieren, Netzwerke zu meiden, die bei der Anmeldung nach ungewöhnlichen persönlichen Daten fragen, und einen seriösen VPN zu verwenden, um Ihren Datenverkehr in jedem öffentlichen Netzwerk zu verschlüsseln, sind alles praktische Schritte, die das Risiko deutlich reduzieren. Organisationen, die regelmäßig Mitarbeiter auf Geschäftsreisen schicken, sollten auch in Erwägung ziehen, grundlegende WLAN-Sicherheitshinweise als Teil des routinemäßigen Sicherheitstrainings zu verstärken, denn diese Art von Social Engineering beruht nicht auf veralteter Software oder ungepatchten Systemen.

Umsetzbare Handlungsempfehlungen

Bestätigen Sie vor Ihrer nächsten Geschäftsreise die offiziellen WLAN-Netzwerknamen beim Hotel- oder Veranstaltungspersonal, anstatt dem zu vertrauen, was in der WLAN-Liste Ihres Geräts erscheint. Geben Sie keine sensiblen Anmeldedaten auf einer Captive-Portal-Seite ein, die auch nur geringfügig ungewohnt aussieht, und erwägen Sie die standardmäßige Nutzung eines VPN, wann immer Sie sich mit einem Netzwerk verbinden, das Sie nicht kontrollieren. Falls Ihre Organisation eine Reisesicherheitsrichtlinie hat, überprüfen Sie diese vor Ihrer Abreise und melden Sie verdächtige Aktivitäten umgehend Ihrem IT- oder Sicherheitsteam. Microsofts Warnung vor Storm-2945 ist eine nützliche Erinnerung daran, dass selbst ein routinemäßiger Fake-WLAN-Angriff der erste Schritt in einen viel größeren Einbruch sein kann und ein paar Minuten Vorsicht am Anmeldebildschirm ihn verhindern können.