ReliaQuest zufolge richtet sich die Kampagne nicht gegen einen einzelnen Sektor, sondern sehr wahrscheinlich gegen reisende Beschäftigte, unabhängig davon, wo sie sich verbinden. Das Unternehmen beobachtete Datenverkehr zu den kompromittierten Gateways aus Organisationen aus Finanzdienstleistungen, professionellen Dienstleistungen, dem Rechtswesen, Gesundheitswesen, dem Energiesektor und dem Einzelhandel.

Wie sich die Angreifer zunächst Zugriff auf die WLAN-Appliances verschafft haben, ist laut ReliaQuest unklar. Als mögliche Wege nennt das Unternehmen schwach geschützte, offen erreichbare Verwaltungszugänge wie SSH, SNMP oder Web-Administrationsoberflächen sowie die Ausnutzung von Schwachstellen. Sobald Administratorzugriff besteht, können die Täter die DNS-Einstellungen des Gateways so verändern, dass Verbindungen zu legitimen Domains auf Infrastruktur unter ihrer Kontrolle umgeleitet werden.

Für die gefälschten Microsoft-Anmeldeseiten wurden laut ReliaQuest mindestens vier Domains registriert: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com. Nutzer, die eigentlich echte Microsoft-Loginportale aufrufen wollen, landen dadurch auf Phishing-Seiten der Angreifer und geben dort ihre Zugangsdaten ein.

In einigen Fällen beobachteten die Forscher auch einen Gerätecode-Authentifizierungsablauf. Dabei wurden Zielpersonen auf eine gefälschte Microsoft-Seite mit einer Eingabeaufforderung umgeleitet. „Was der Nutzer nicht sehen kann, ist, dass das Bestätigen der Aufforderung eine vom Angreifer gestartete Sitzung autorisiert“, erklärt ReliaQuest. Nach Angaben der Forscher führt die Freigabe dieser vom Angreifer initiierten Anfrage dazu, dass ein legitimes OAuth-Token für den Client des Angreifers ausgestellt wird.

Damit lässt sich der Schutz durch Mehrfaktor-Authentifizierung umgehen, ohne Zugangsdaten zu stehlen oder Zugriffstoken abzufangen. In etwa einem Drittel der untersuchten Fälle versuchten die Angreifer zudem, Web Proxy Auto-Discovery (WPAD) zu missbrauchen, indem sie auf die automatische WPAD-Abfrage von Windows mit einer bösartigen Proxy-Autokonfigurationsdatei reagierten.

Theoretisch könnte so Datenverkehr von Windows-Anwendungen, darunter auch Chrome, über einen von den Angreifern kontrollierten Proxy geleitet werden. ReliaQuest konnte jedoch nicht bestätigen, dass diese Angriffe erfolgreich waren. Die Forscher betonen außerdem, dass die Nutzung öffentlicher DNS-Server wie Googles 8.8.8.8 diese Angriffe nicht verhindert, weil das Gateway die unverschlüsselten Anfragen fälscht, bevor sie den vorgesehenen Resolver erreichen.

Als Schutzmaßnahmen empfiehlt ReliaQuest ein dauerhaft aktives VPN mit vollständiger Tunnelführung sowie verschlüsseltes DNS im strikten Modus. Zusätzlich rät das Unternehmen dazu, WPAD zu deaktivieren, Protokolle auf verdächtige Aktivitäten zu prüfen und den Gerätecode-Authentifizierungsablauf in Microsoft Entra ID abzuschalten, wenn er nicht benötigt wird.