Sicherheitsforscher von ReliaQuest haben eine laufende Angriffskampagne aufgedeckt, bei der Kriminelle die WLAN-Zugangssysteme von Hotels und Konferenzzentren kapern. Über diese kompromittierten Netzwerke leiten sie reisende Beschäftigte unbemerkt auf gefälschte Microsoft-Anmeldeseiten um und greifen deren Microsoft-365-Zugangsdaten ab. Das Besondere daran: Es braucht keine Phishing-Mail und keinen Schadcode auf dem Gerät des Opfers. Wer sich im Hotel ins Gäste-WLAN einloggt und danach seine Microsoft-Zugangsdaten eingibt, kann bereits betroffen sein.

Die Kampagne läuft mindestens seit Juni 2026. Betroffene Zugangssysteme wurden in mehreren US-Städten sowie in Indien und Saudi-Arabien gefunden, überwiegend in Hotels und im Gastgewerbe. Der Datenverkehr zu den bösartigen Servern stammte von Unternehmen aus ganz unterschiedlichen Branchen, darunter Finanzdienstleister, Rechtsberatung, Gesundheitswesen, Energie und Handel. Das zeigt: Es geht den Angreifern nicht um eine bestimmte Branche, sondern um Geschäftsreisende, egal wo sie sich gerade einloggen.

Wie der Angriff funktioniert

Im Zentrum steht das sogenannte Captive Portal, also die Zugangssoftware, mit der sich Gäste in ein öffentliches WLAN einwählen. Dieses Gerät verwaltet für alle verbundenen Nutzer die Namensauflösung im Netz, das DNS. Vereinfacht gesagt ist DNS das Adressbuch des Internets: Es übersetzt einen Namen wie login.microsoftonline.com in die zugehörige IP-Adresse, also den tatsächlichen Standort des Servers. Wer dieses Adressbuch kontrolliert, bestimmt, wohin der Datenverkehr fließt.

Genau hier setzen die Angreifer an. Nach Einschätzung von ReliaQuest (mit geringer bis mittlerer Sicherheit) verschaffen sie sich Zugang über schlecht geschützte Verwaltungsschnittstellen der Geräte, etwa offen aus dem Internet erreichbare SSH-, SNMP- oder Web-Administrationszugänge, kombiniert mit schwachen oder mehrfach verwendeten Administrator-Passwörtern. Ist dieser Zugang einmal da, ändern sie die DNS-Einstellungen des Gateways. Anfragen nach echten Microsoft-Adressen werden dann still auf Server der Angreifer umgeleitet. Ein einziges gekapertes Gerät reicht aus, um den Datenverkehr jedes Gastes zu manipulieren, der sich an diesem Tag einloggt. Kein einziges Endgerät muss dafür angefasst werden.

Für die gefälschten Microsoft-Anmeldeseiten registrierten die Täter mindestens vier Domains: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com. Diese liegen auf den IP-Adressen 31.57.243[.]154 und 104.194.159[.]150. Als Antwort-Adresse für die manipulierten DNS-Anfragen tauchte zudem 38.146.28[.]75 auf.

Warum die üblichen Schutzmaßnahmen hier versagen

Viele glauben, mit einem festen DNS-Server wie Googles 8.8.8[.]8 auf der sicheren Seite zu sein. Das stimmt hier nicht. Die Anfrage verlässt das Gerät weiterhin unverschlüsselt und läuft durch das kompromittierte Gateway. Dort kann sie mitgelesen, gefälscht und umgeleitet werden, bevor sie überhaupt bei Google ankommt. Auch Endgeräte-Tools, die nur einen Teil der DNS-Anfragen verschlüsseln, schließen die Lücke nicht, weil zentrale Windows-Dienste weiter ganz normale, unverschlüsselte Anfragen stellen.

Zuverlässig helfen laut ReliaQuest nur zwei Konfigurationen. Erstens ein durchgehend aktives VPN im Full-Tunnel-Modus, bei dem der gesamte Datenverkehr inklusive DNS zuerst durch das Firmennetz läuft, bevor er das Hotel-Gateway erreicht. Zweitens verschlüsseltes DNS im strikten Modus (DNS over HTTPS oder DNS over TLS ohne Rückfall auf unverschlüsselte Anfragen). Wichtig ist der strikte Modus, denn die meisten Werkzeuge arbeiten standardmäßig im opportunistischen Modus und fallen bei Problemen auf unverschlüsselte Anfragen zurück. Genau diesen Rückfall greift das manipulierte Gateway ab.

Zwei zusätzliche Tricks der Angreifer

Neben der DNS-Manipulation beobachteten die Forscher zwei weitere Techniken, die in früheren, vergleichbaren Kampagnen noch nicht dokumentiert waren.

In etwa einem Drittel der Fälle versuchten die Angreifer, die Windows-Funktion WPAD (Web Proxy Auto-Discovery) auszunutzen. WPAD sucht beim Verbinden mit einem Netzwerk automatisch nach Proxy-Einstellungen, und das gekaperte Gateway kann diese Suche beantworten. Gelingt der Trick, läuft nahezu der gesamte Anwendungsverkehr über einen Proxy der Angreifer, also weit mehr als nur die Anmeldedaten. Diese Umleitung fällt kaum auf, weil sie im Protokoll wie ganz normaler HTTPS-Verkehr aussieht.

In einzelnen Fällen missbrauchten die Täter außerdem den Device-Code-Anmeldeprozess von Microsoft. Dabei wird das Opfer auf eine echt wirkende Microsoft-Freigabeseite geleitet. Bestätigt die Person die Anfrage, autorisiert sie in Wahrheit eine Sitzung, die der Angreifer gestartet hat. Microsoft stellt daraufhin gültige Zugangstoken an den Angreifer aus. Auf diese Weise erhält der Täter Zugriff auf das Microsoft-365-Konto, obwohl er weder ein Passwort abgefangen noch die Mehr-Faktor-Authentifizierung überwunden hat. Die MFA wurde durch die Bestätigung des Opfers bereits erfüllt.

Ein Hinweis darauf, dass die Kampagne noch aktiv sein dürfte: Am 23. Juli 2026 fanden die Forscher auf ms365-device[.]com ein Verwaltungspanel, mit dem sich Köderseiten hochladen, austauschen und je nach Besucher gezielt ausspielen oder verbergen lassen. Solche Funktionen sind typisch für eine laufende Betrugsinfrastruktur.

ReliaQuest ordnet die Vorgehensweise als ähnlich zu der Gruppe APT28 ein, auch bekannt als Fancy Bear oder Forest Blizzard, die dem russischen Militärnachrichtendienst zugerechnet wird. Die Kampagne erinnert an eine Operation namens FrostArmada, die im April 2026 zerschlagen wurde und bei der APT28 über manipulierte Router in Heim- und Kleinbüros ebenfalls Microsoft-Anmeldungen und OAuth-Token abfing. Laut Berichten waren dabei rund 18.000 Router in etwa 120 Ländern betroffen.

Wichtig ist die Einschränkung: ReliaQuest schreibt die aktuelle Kampagne APT28 nicht direkt zu. Die Einschätzung beruht nur auf ähnlichen Vorgehensweisen, nicht auf gemeinsamer Infrastruktur oder Code. Es gibt sogar Unterschiede, die eher auf einen weniger sorgfältigen Nachahmer hindeuten. Anders als bei FrostArmada werden nicht gezielt einzelne Anmeldedomains umgeleitet, sondern schlicht alle DNS-Anfragen auf die bösartige Infrastruktur. Auch die verwendeten Domains und Server unterscheiden sich von bekannten APT28-Ressourcen. Für die Praxis ist die Urheberschaft aber zweitrangig. Die Technik funktioniert unabhängig davon, wer dahintersteht, und lässt sich leicht kopieren.