Auf den Punkt: Angreifer können durch DNS-Vergiftung auf kompromittierten WLAN-Gateways Microsoft-365-Accounts von Gästen stehlen, ohne deren Geräte oder das Unternehmensnetzwerk zu berühren.
Seit mindestens Juni manipulieren Bedrohungsakteure Captive-Portal-Gateways und Portal-Appliances in Hotels und Konferenzzentren, um Microsoft-365-Konten von reisenden Mitarbeitern zu kompromittieren. Die Angreifer leiten Netzwerkverkehr um und stehlen Anmeldedaten, ohne die Endgeräte selbst zu infizieren.
Das Threat-Research-Team von ReliaQuest hat eine Kampagne dokumentiert, in der Angreifer zunächst die Admin-Zugänge von WLAN-Gateways und Portal-Appliances in Hotels, Konferenzzentren und vergleichbaren Gemeinschaftseinrichtungen übernehmen. Dies geschieht typischerweise durch schwache oder wiederverwendete Admin-Anmeldedaten in Kombination mit exponierten Schnittstellen wie SSH (Secure Shell), SNMP (Simple Network Management Protocol) oder Web-Konsolen.
Nach Erhalt des Admin-Zugriffs injizieren die Angreifer falsche DNS-Daten, um regulären Netzwerkverkehr zu betrügerischen Domains umzuleiten. In der von ReliaQuest verfolgten Kampagne wurden vier Attacker-Domains – m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com – als Microsoft-Imitate verwendet. Diese Technik funktioniert, weil Geräte DNS-Abfragen standardmäßig vertrauen: Das Gateway, das am Netzwerk-Perimeter sitzt, kann DNS-Anfragen abfangen und manipulieren, bevor sie das Endgerät überhaupt verlassen, ohne dass das Verfahren auf Endpoint-Ebene sichtbar wird. Betroffene Nutzer stammen aus Unternehmen der Finanz- und Versicherungswirtschaft, Rechtsbranche, Einzelhandel, Gesundheitswesen und Energiesektor; die Angriffe traten in mehreren US-Städten sowie in Indien und Saudi-Arabien auf.
Für Sicherheitsverantwortliche ist dies problematisch, weil die Kompromittierung eines einzelnen Accounts zu erheblichem Datenverlust führen kann – ein erfolgreicher Account kann beispielsweise auf SharePoint-Daten und E-Mail-Archive zugreifen. Für Netzwerkbetreiber entsteht zudem ein erhebliches Reputationsrisiko, da Nutzerkomprommittierungen das Vertrauen und die Markenwahrnehmung beschädigen.
ReliaQuest warnt, dass gängige Schutzmaßnahmen oft unzureichend sind: Das Konfigurieren von „sicheren“ DNS-Providern wie Google (8.8.8.8) oder Cloudflare (1.1.1.1) ändert zwar das angestrebte Ziel, nicht aber den Weg dorthin – das Gateway kontrolliert nach wie vor den Netzwerkpfad und kann Abfragen abfangen. DNSSEC (Domain Name System Security Extensions) mit digitalen Signaturen und Public-Key-Kryptografie bietet nur teilweise Abhilfe, da auch signierte DNS-Antworten durch die Gateway-Manipulation gefährdet bleiben.
Quelle: www.csoonline.com · Erschienen 28. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.