Falle im Hotel: Angriff auf WLAN-Gateways zum Diebstahl von Microsoft-365-Konten

Einleitung

Seit Juni 2026 zielt eine ausgeklügelte Cyber-Spionage-Kampagne auf reisende Berufstätige ab, indem sie die Kompromittierung von WLAN-Gateways in Hotels und Kongresszentren ausnutzt. Die Angreifer manipulieren die DNS-Einstellungen des Netzwerks, um die Opfer auf gefälschte Microsoft-365-Anmeldeseiten umzuleiten, mit dem Ziel, Anmeldeinformationen oder – schlimmer noch – authentifizierte OAuth-Token zu stehlen, die die Mehrfaktorauthentifizierung (MFA) vollständig umgehen. Die von Forschern von ReliaQuest entdeckte Bedrohung weist starke Ähnlichkeiten mit den Operationen „FrostArmada“ auf, die der Gruppe APT28 (Fancy Bear) zugeschrieben werden.

Technische Analyse

Der Angriff verläuft in mehreren Stufen. Zunächst übernehmen die Kriminellen die Kontrolle über die WLAN-Gateways, häufig durch Missbrauch von administrativen Schnittstellen (SSH, SNMP, Web-Panels), die mit schwachen Anmeldeinformationen oder veralteter Firmware exponiert sind. Nach dem Eindringen ändern sie die DNS-Server, um Anfragen von legitimen Microsoft-Domains auf bösartige Server umzuleiten.

Wenn ein Gast sich mit dem Netzwerk verbindet und versucht, Outlook oder Teams zu öffnen, leitet das vergiftete DNS ihn auf ein geklontes Microsoft-365-Portal. Dort kann der Ahnungslose seine Anmeldeinformationen eingeben, die sofort abgefangen werden.

Doch der tückischste Aspekt ist die Nutzung des Device-Code-Flows: Der Angreifer zeigt dem Benutzer eine Meldung, die ihn auffordert, eine echte Microsoft-Seite (z. B. microsoft.com/devicelogin) zu besuchen und einen auf der gefälschten Seite angezeigten Code einzugeben. Dadurch autorisiert das Opfer unwissentlich die Ausstellung eines gültigen Sitzungstokens, das die bereits verifizierte MFA enthält. Das Token ermöglicht einen dauerhaften Zugriff auf das Konto, ohne dass eine spätere Passwortänderung dies verhindert.

Parallel wurde ein Versuch beobachtet, das WPAD-Protokoll (Web Proxy Auto-Discovery) zu missbrauchen. Indem sie die Verwendung eines kontrollierten Proxys erzwingen, zielen die Angreifer darauf ab, den gesamten Webverkehr abzufangen. Die Wirksamkeit dieser Technik in der Kampagne wurde nicht bestätigt, sie zeigt jedoch die Vielseitigkeit der Offensive.

Die verwendeten Domains umfassen m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com, die typischerweise über anonyme Hosting-Dienste registriert werden, um Ermittlungen zu erschweren.

Auswirkungen

Die Kampagne hat Geschäftsreisende in den USA, Indien und Saudi-Arabien ins Visier genommen, mit einer hohen Konzentration in den Bereichen Finanzdienstleistungen, freie Berufe, Rechtswesen, Gesundheitswesen, Energie und Einzelhandel. Der unbefugte Zugriff auf Microsoft-365-Konten ermöglicht das Lesen von E-Mails, den Diebstahl vertraulicher Dokumente und potenziell laterale Bewegungen in das Unternehmensnetzwerk. Der Token-Diebstahl stellt ein noch größeres Risiko dar, da er eine dauerhafte Präsenz auch nach einem Passwort-Reset sichert. Die exfiltrierten Daten können geistiges Eigentum, Finanzdaten, Verträge und persönliche Dossiers umfassen, mit rechtlichen und rufschädigenden Folgen.

Mitigation

• Full-Tunnel-VPN und verschlüsseltes DNS: Die Nutzung eines Unternehmens-VPN erzwingen, das den gesamten Datenverkehr kapselt (ohne Split-Tunnel), sowie DNS-over-HTTPS (DoH) oder DNS-over-TLS (DoT) mit strikter Konfiguration aktivieren, um jegliche Manipulation auf lokaler Netzwerkebene zu verhindern.
• WPAD deaktivieren: Die automatische Proxy-Erkennung sowohl auf den Endgeräten (Gruppenrichtlinien unter Windows) als auch auf den Netzwerkgeräten deaktivieren und WPAD-Anfragen blockieren.
• Device-Code-Fluss blockieren: Falls nicht zwingend erforderlich, die Erteilung von Device-Code in Microsoft Entra ID entfernen (Azure AD-Portal → Authentifizierung → Genehmigungsflüsse).
• Proaktive Überwachung: Die Sitzungsprotokolle von Microsoft 365 auf verdächtige Domains, Zugriffe von ungewöhnlichen Standorten oder Aktivierungen neuer Geräte hin überwachen.
• WLAN-Gateways absichern: Für Administratoren von Einrichtungen ist es entscheidend, die Verwaltungsoberflächen zu schützen: SSH, SNMP und die Weboberfläche deaktivieren, wenn sie nicht benötigt werden, zeitnahe Firmware-Updates anwenden und starke, eindeutige Anmeldedaten verwenden.
• Reisende schulen: Das Personal für die Bedeutung zu sensibilisieren, niemals Unternehmensanmeldedaten außerhalb eines sicheren VPNs einzugeben und bei unerwarteten Anmeldeseiten misstrauisch zu sein.

FAQ

1. Warum schützt mich die Mehrfaktorauthentifizierung nicht vor diesem Angriff?

Der vom Angreifer ausgenutzte Device-Code-Flow ist ein legitimer Authentifizierungsmechanismus, der für Geräte ohne Browser (z. B. Smart-TVs) konzipiert ist. Wenn das Opfer, getäuscht durch die gefälschte Seite, /devicelogin besucht und den Code eingibt, läuft der gesamte Vorgang – einschließlich der MFA-Überprüfung – authentisch ab. Am Ende erhält der Angreifer ein Token, das die bereits erfüllte MFA beinhaltet, und erlangt so einen Zugriff, der von dem eines echten Benutzers nicht zu unterscheiden ist.

2. Wie kann ich erkennen, ob das Hotel-WLAN kompromittiert ist?

Für einen normalen Benutzer ist dies nahezu unmöglich. Mögliche Anzeichen sind plötzliche Weiterleitungen auf ungewöhnliche Anmeldeseiten, ungültige SSL-Zertifikate oder die Aufforderung, Codes auf externen Websites einzugeben. Die wirksamste Verteidigung bleibt die Annahme, dass das Netzwerk feindselig ist: Vor jeder Aktivität ein Full-Tunnel-VPN aktivieren, sicherstellen, dass DNS verschlüsselt ist, und niemals Anmeldedaten eingeben, wenn diese Maßnahmen nicht vorhanden sind.

3. Was sollte ein Unternehmen tun, wenn der Verdacht besteht, dass ein Mitarbeiter Opfer wurde?

Es ist schnelles Handeln erforderlich:

• Alle Sitzungstoken sofort widerrufen und das Passwort in Microsoft Entra ID zurücksetzen.
• Nicht autorisierte Anwendungen oder Geräte, die mit dem Konto verknüpft sind, entfernen.
• Die Protokolle der letzten Aktivitäten auf ungewöhnliche Zugriffe, verdächtige E-Mail-Weiterleitungen oder das Erstellen von Regeln prüfen.
• Das Sicherheitsteam für eine umfassendere Untersuchung alarmieren, da der Angreifer die Kompromittierung möglicherweise bereits auf andere Systeme ausgeweitet hat.