Auf den Punkt: APT28 manipuliert Hotel-WLANs über DNS-Umleitung und Device-Code-Authentifizierung, um OAuth-Tokens zu stehlen und somit MFA zu umgehen – VPN-Tunnelung und verschlüsseltes DNS sind erforderlich.
Sicherheitsforscher von ReliaQuest haben eine seit Juni 2024 andauernde Angriffsreihe dokumentiert, bei der Angreifer DNS-Einstellungen in Hotel- und Konferenzzentrum-WLANs manipulieren, um Geschäftsreisende auf gefälschte Microsoft-365-Anmeldeseiten umzuleiten. Die Kampagne, der die Gruppe APT28 zugeordnet wird, zielt branchenübergreifend auf Finanzwesen, Rechtsberatung, Gesundheit und Einzelhandel ab.
Angreifer kompromittieren WLAN-Gateways in Hotels und Konferenzzentren an Standorten in mehreren US-Städten sowie in Indien und Saudi-Arabien. Nach Erlangung von Administratorrechten ändern sie die DNS-Konfiguration der Geräte so, dass Anfragen zu legitimen Microsoft-Diensten auf von den Angreifern kontrollierte Domänen wie m365-owa[.]com oder ms365-live[.]com umgeleitet werden.
Auf den gefälschten Anmeldeseiten wird das Device-Code-Authentifizierungsverfahren missbraucht: Der Nutzer wird aufgefordert, eine angebliche Bestätigung vorzunehmen. Im Hintergrund autorisiert diese Aktion jedoch eine vom Angreifer initiierte Sitzung, wodurch ein gültiges OAuth-Token an den Angreifer ausgestellt wird. Auf diese Weise kann die Sitzung übernommen werden, ohne dass Passwörter abgefangen oder Mehrfaktor-Authentifizierung (MFA) umgangen werden muss – die MFA wird faktisch durch den legitimen Token ausgehebelt. In etwa einem Drittel der untersuchten Fälle versuchten die Angreifer zusätzlich, das Web Proxy Auto-Discovery Protokoll (WPAD) auszunutzen.
ReliaQuest ordnet die Angriffsmethoden der unter APT28, Fancy Bear oder Forest Blizzard bekannten Gruppe zu, die bereits unter dem Namen FrostArmada mit ähnlichen Techniken auftrat. Die beobachteten Angriffe richten sich nicht auf einzelne Branchen, sondern gezielt auf Geschäftsreisende aus verschiedensten Sektoren, die sich mit Hotel-WLANs verbinden.
Zum Schutz empfiehlt ReliaQuest die durchgehende Nutzung von VPN-Verbindungen mit vollständiger Tunnelung sowie verschlüsseltes DNS im strikten Modus. Die Nutzung öffentlicher DNS-Server wie 8.8.8.8 bietet keinen Schutz, da das kompromittierte Gateway unverschlüsselte Anfragen abfängt, bevor sie den Resolver erreichen. Zusätzlich sollte das WPAD-Protokoll deaktiviert werden. Im Microsoft Entra ID kann das Device-Code-Authentifizierungsverfahren abgeschaltet werden, sofern es nicht zwingend für geschäftliche Prozesse erforderlich ist.
Quelle: www.it-daily.net · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.