Microsoft warnt: Russische Hacker verbreiten Malware über öffentliche WLANs
Microsoft hat einen Bericht dazu veröffentlicht(öffnet im neuen Fenster), dass eine russische Hackergruppe Nutzer öffentlicher WLAN-Netze unter anderem durch Manipulation von DNS-Anfragen auf Phishingseiten umleitet, um Zugangsdaten für Microsoft-Konten abzugreifen. Sicherheitsforscher von Reliaquest hatten bereits Ende Juli vor dieser laufenden Angriffskampagne gewarnt, der Microsoftbericht liefert nun weitere Details.
Demnach leiten die Angreifer Anwender, die sich etwa aus einem Hotel-WLAN mit ihren Zugangsdaten bei Microsoft anmelden wollen, durch Eingriffe in den DNS- und HTTP-Traffic gezielt auf Phishingseiten um, um Geräte- und OAuth-Codes abzugreifen und die jeweiligen Konten zu kapern.
Teilweise wird Betroffenen aber wohl auch durch sogenannte Clickfix-Angriffe gezielt Malware untergeschoben. Als Beispiel nennt Microsoft einen Golang-basierten Fernzugriffstrojaner namens Cornflake, der unter anderem Tastatureingaben mitschneidet, Mikrofone und Webcams anzapft und beliebige Dateien sowie im Browser gespeicherte Cookies und Passwörter ausleitet.
Angriff über Captive-Portale
Den Zugriff auf die jeweiligen Netzwerke erhalten die Angreifer durch kompromittierte Netzwerkausrüstung etwa in Hotels, an Flughäfen oder an anderen Standorten mit öffentlich verfügbaren WLAN-Netzen. Wie die Angreifer dort genau eindringen, scheint Microsoft noch nicht abschließend geklärt zu haben. Nach Angaben des Konzerns dauern die Untersuchungen diesbezüglich noch an.
Microsoft stellte aber fest, dass einige betroffene Netzwerke über gewisse Gemeinsamkeiten verfügen. Diese beziehen sich auf die jeweils verwendeten Captive-Portale, über die Anwender etwa den Nutzungsbedingungen zustimmen und sich in die öffentlichen WLANs einwählen können. Microsoft geht davon aus, dass die Hacker möglicherweise Zugriff auf gemeinsam genutzte Dienste dieser Portale haben.
Spuren führen zu russischem Geheimdienst
Hinter der Captivecrunch genannten Angriffskampagne steckt laut Microsoft die Hackergruppe Storm-2945, eine Untergruppe von Midnight Blizzard (auch bekannt als Nobelium, Cozy Bear oder APT29), welche schon häufiger mit Angriffen auf Microsoft und die Nutzer der Dienste des Konzerns in Verbindung gebracht wurde. Westliche Behörden ordnen Midnight Blizzard dem russischen Auslandsgeheimdienst SVR(öffnet im neuen Fenster) zu.
Administratoren finden in Microsofts Bericht(öffnet im neuen Fenster) einige für die Abwehr nützliche Kompromittierungsindikatoren sowie Hinweise darauf, wie sich die Aktivitäten von Storm-2945 erkennen und vereiteln lassen. Für Endbenutzer gilt nach wie vor die Empfehlung, die Reliaquest schon im Juli geteilt hatte: den eigenen Datenverkehr bei Nutzung öffentlicher WLAN-Zugangspunkte besser über eine verschlüsselte VPN-Verbindung leiten.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.