Öffentliche WLAN-Netze für Phishing von Unternehmensdaten genutzt

Was ist passiert

Die Welt der Cybersicherheit sieht sich mit einer neuen und beunruhigenden Angriffskampagne konfrontiert, die auf reisende Fachkräfte abzielt. Laut einem Bericht der Cybersicherheitsfirma ReliaQuest kompromittiert ein unbekannter Bedrohungsakteur WLAN-Gateways an öffentlichen Orten wie Hotels und Konferenzzentren, um die Microsoft 365-Anmeldeinformationen von Unternehmensmitarbeitern zu stehlen. Der Bericht gibt an, dass die Angriffe mindestens seit Juni 2026 andauern.

Das Hauptziel der Angreifer sind Mitarbeiter, oft auf Geschäftsreisen, die sich mit diesen öffentlichen Netzwerken verbinden. Die Hacker nutzen diese kompromittierte Netzwerkinfrastruktur, um Benutzer unwissentlich auf gefälschte Websites unter ihrer Kontrolle umzuleiten und so kritisch wichtige Unternehmensanmeldeinformationen zu erbeuten. Diese Methode ermöglicht es den Angreifern, sich zwischen das Opfer und den Dienst, mit dem es sich verbindet, zu schalten, was ihnen die Überwachung und Manipulation der gesamten Kommunikation ermöglicht.

Welche Daten wurden gestohlen

Das Hauptziel dieser Angriffskampagne sind Kontoinformationen für die Microsoft 365-Plattform, die in der Unternehmenswelt weit verbreitet ist. Mit den gestohlenen Anmeldeinformationen wollen die Angreifer in die internen Netzwerke von Unternehmen, E-Mail-Systeme und Cloud-Speicher eindringen. Laut der Analyse von ReliaQuest umfassen die von den Angreifern gesammelten Daten:

• Microsoft 365-Benutzernamen und -Passwörter: Dies ist der Hauptfokus des Angriffs, diese Informationen werden für den ersten Zugriff auf Unternehmensnetzwerke verwendet.
• Andere sensible Informationen: Durch die Adversary-in-the-Middle (AitM)-Technik könnten Angreifer auch anderen unverschlüsselten oder schwach verschlüsselten Datenverkehr überwachen, um auf zusätzliche sensible Informationen zuzugreifen. Die Quelle liefert hierzu jedoch keine spezifischen Details.

Diese gestohlenen Anmeldeinformationen können als Sprungbrett für größere Cyberangriffe, Datenlecks oder Spionageaktivitäten dienen.

Wie funktionierte der Angriff

Die Angreifer verfolgen eine vielschichtige und technische Methode, um ihre Ziele zu erreichen. Laut dem Bericht von ReliaQuest besteht die Angriffskette aus den folgenden Schritten:

1. Kompromittierung von Netzwerk-Gateways: Der erste Schritt des Angriffs besteht darin, die Sicherheit öffentlicher WLAN-Gateways (oft SOHO - Small Office/Home Office-Router) zu durchbrechen, die in Hotels, Konferenzzentren und anderen gemeinsam genutzten Orten verwendet werden. Technische Details, wie diese Geräte kompromittiert wurden, sind im Bericht nicht enthalten.

2. Änderung der DNS-Konfiguration: Die Hacker ändern die DNS (Domain Name System)-Einstellungen der kompromittierten Router. Diese Aktion bildet die Grundlage für eine Technik, die als "DNS-Poisoning" bekannt ist. Normalerweise leitet der DNS-Server einen Benutzer, der die Microsoft-Anmeldeseite aufrufen möchte, an die richtige IP-Adresse weiter. Bei diesem Angriff leitet der Router jedoch alle Benutzer an die IP-Adresse eines gefälschten Servers weiter, der vom Angreifer kontrolliert wird.

3. Adversary-in-the-Middle (AitM)-Angriff: Dank der DNS-Umleitung platzieren sich die Angreifer zwischen dem Opfer und dem Internet. Dies ist ein klassischer Adversary-in-the-Middle (AitM)-Angriff. Während das Opfer glaubt, sich mit einer legitimen Website zu verbinden, läuft sein gesamter Datenverkehr tatsächlich über die Infrastruktur des Angreifers.

4. Gefälschte Anmeldeseiten: Die umgeleiteten Benutzer werden mit gefälschten Websites (Phishing-Köder) konfrontiert, die die offiziellen Anmeldeseiten von Microsoft perfekt nachahmen. ReliaQuest berichtete, dass es vier verschiedene Domains identifiziert hat, die von den Angreifern speziell für diesen Zweck registriert wurden.

5. Diebstahl von Anmeldeinformationen: Wenn die Opfer ihren Microsoft 365-Benutzernamen und ihr Passwort auf diesen gefälschten Seiten eingeben, gelangen diese Informationen direkt in die Hände der Angreifer.

Wer war betroffen

Der Angriff stellt eine Bedrohung für alle reisenden Unternehmensmitarbeiter dar, anstatt auf einen bestimmten Sektor abzuzielen. ReliaQuest bestätigte, dass der Datenverkehr, der sich mit den kompromittierten Gateways verband, aus einer Vielzahl von Branchen stammte. Zu den betroffenen und potenziellen Zielen gehören:

• Geografische Standorte: Die Angriffe wurden gehäuft an Standorten in den USA, Indien und Saudi-Arabien beobachtet.
• Betroffene Sektoren: Mitarbeiter aus vielen verschiedenen Sektoren wie Finanzdienstleistungen, professionelle Dienstleistungen, Recht, Gesundheitswesen, Energie und Einzelhandel waren von diesen Angriffen betroffen.
• Gefährdete Organisationen: Der Bericht warnt, dass jede Organisation, die Captive-Portal-Dienste anbietet (Netzwerke, bei denen Benutzer eine Webseite passieren müssen, um sich zu verbinden), einer ähnlichen Angriffsfläche ausgesetzt ist. Dazu gehören Flughäfen, Konferenzzentren, Gesundheitseinrichtungen, Universitäten und Veranstaltungsorte.

Was können Sie tun

Der Schutz vor solchen Angriffen erfordert Bewusstsein und proaktive Maßnahmen sowohl für einzelne Benutzer als auch für Organisationen.

Empfehlungen für einzelne Benutzer:

• Verwenden Sie ein VPN: Nutzen Sie immer einen vertrauenswürdigen VPN (Virtual Private Network)-Dienst, wenn Sie sich mit öffentlichen WLAN-Netzwerken verbinden. Ein VPN verschlüsselt Ihren gesamten Internetverkehr und bietet Schutz vor Adversary-in-the-Middle-Angriffen.
• Überprüfen Sie die Adressleiste: Bevor Sie Ihre Anmeldeinformationen eingeben, stellen Sie sicher, dass die Website-Adresse (URL) korrekt ist und HTTPS verwendet. Seien Sie vorsichtig bei verdächtigen oder falsch geschriebenen Domainnamen.
• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA): Aktivieren Sie MFA für Ihr Microsoft 365-Konto und alle anderen wichtigen Konten. Dies verhindert, dass ein Angreifer auf Ihr Konto zugreifen kann, selbst wenn Ihr Passwort gestohlen wird.

Empfehlungen für Organisationen:

• Schulen Sie Ihre Mitarbeiter: Informieren Sie reisende Mitarbeiter regelmäßig über die Risiken öffentlicher WLAN-Netzwerke und Phishing-Angriffe.
• Setzen Sie VPN-Richtlinien durch: Machen Sie die Verwendung eines VPN für den externen Zugriff auf Unternehmensressourcen zur Pflicht.
• Überwachen Sie anomale Anmeldungen: Verwenden Sie Systeme, die Anmeldeversuche bei Unternehmenskonten überwachen und Warnungen generieren, insbesondere bei solchen aus unerwarteten geografischen Standorten.

Was das Unternehmen sagt

ReliaQuest, das den Angriff aufgedeckt hat, gibt an, dass die Kampagne Ähnlichkeiten mit der zuvor beobachteten FrostArmada-Kampagne aufweist, die APT28 (auch bekannt als Forest Blizzard, Fancy Bear), einer Gruppe, die mit dem russischen GRU in Verbindung gebracht wird, zugeschrieben wurde. Der Bericht hebt jedoch auch signifikante Unterschiede hervor.

Laut der Analyse von ReliaQuest deuten die „in der neuen Kampagne beobachteten Taktiken, Techniken und Verfahren (TTPs) darauf hin, dass der Bedrohungsakteur zumindest die Vorgehensweisen von APT28 wiederverwendet hat, sich aber nicht vollständig mit FrostArmada überschneidet“.

Die im Bericht hervorgehobenen Hauptunterschiede sind:

• Angriffsmethode: Der neue Angreifer verwendet DNS-Poisoning, um alle Benutzer wahllos auf seine Infrastruktur umzuleiten. Laut ReliaQuest könnte dies ein „Indikator für einen weniger anspruchsvollen oder weniger sorgfältigen Akteur als APT28“ sein.
• Ziele: Das Zielen auf Captive-Portal-Appliances in Hotels und Konferenzzentren ist eine Methode, die in den Berichten über FrostArmada bisher nicht dokumentiert wurde.
• Infrastruktur: Die verwendeten Domainregistrierungen und IP-Adressen stimmen nicht mit der Infrastruktur überein, die zuvor in APT28-Kampagnen beobachtet wurde.

Zusammenfassend lässt sich sagen, dass, obwohl nicht sicher ist, wer hinter diesen Angriffen steckt, klar ist, dass sie Taktiken aus dem Spielbuch einer bekannten staatlich geförderten Gruppe verwenden.

Quelle

https://www.securityweek.com/hacked-public-wi-fi-gateways-used-to-harvest-corporate-credentials/