ReliaQuest zufolge missbraucht der Angreifer kompromittierte WLAN-Gateways in Netzen mit captive Portal, um den Datenverkehr von Nutzern umzuleiten und Microsoft-365-Konten anzugreifen. Kern der Methode ist eine Manipulation der DNS-Konfiguration auf betroffenen Small-Office-/Home-Office-Routern. Nutzer werden dadurch auf Infrastruktur der Angreifer geschickt, wo Anmeldedaten abgegriffen werden sollen.
Das Sicherheitsunternehmen beschreibt die Vorgehensweise als Adversary-in-the-Middle-Technik. Damit können die Angreifer den Datenverkehr der Opfer abfangen und neben Zugangsdaten auch weitere sensible Informationen erbeuten. Für die beobachtete Kampagne identifizierte ReliaQuest vier von den Angreifern registrierte Domains, die für Microsoft-Imitationen in diesen Angriffen genutzt wurden.
Die Aktivität läuft laut ReliaQuest seit mindestens Juni 2026. Beobachtet wurden kompromittierte Wi-Fi-Gateways an gemeinsam genutzten Orten wie Hotels und Konferenzzentren in den USA, Indien und Saudi-Arabien. ReliaQuest warnt, dass grundsätzlich jede Organisation mit captive-WLAN-Diensten eine ähnliche Angriffsfläche bietet, darunter Flughäfen, Konferenzzentren, Gesundheitseinrichtungen, Universitäten und Veranstaltungsorte.
Nach Angaben von ReliaQuest wurde Datenverkehr zu diesen kompromittierten Gateways aus Organisationen in verschiedenen Branchen beobachtet, darunter Finanzdienstleistungen, professionelle Dienstleistungen, Rechtswesen, Gesundheitswesen, Energie und Einzelhandel. Das werte die Firma als Hinweis darauf, dass es sich nicht um branchenspezifische Zielauswahl handelt, sondern um eine Kampagne, die mit hoher Wahrscheinlichkeit reisende Beschäftigte überall dort ins Visier nimmt, wo sie sich verbinden.
In ihrer Analyse zieht ReliaQuest Parallelen zu FrostArmada, einer früher beobachteten Kampagne, die APT28 zugeschrieben wurde. APT28 ist auch unter den Namen Forest Blizzard und Fancy Bear bekannt und gilt als staatlich unterstützte Gruppe mit mutmaßlicher Verbindung zum russischen militärischen Nachrichtendienst GRU. Zugleich betont ReliaQuest, dass die aktuelle Aktivität nicht vollständig mit FrostArmada übereinstimmt.
Ein Unterschied liegt laut ReliaQuest darin, dass die neuen Angriffe DNS-Vergiftung einsetzen, um alle Nutzer auf die Infrastruktur der Angreifer umzuleiten. Das sei „möglicherweise ein Hinweis auf einen weniger ausgereiften oder weniger vorsichtigen Akteur als APT28“. Insgesamt sprächen die beobachteten Taktiken, Techniken und Verfahren dafür, dass der Bedrohungsakteur zumindest die Handwerksmuster von APT28 wiederverwendet, ohne sich vollständig mit FrostArmada zu decken.
ReliaQuest hebt außerdem hervor, dass die gezielte Auswahl von captive-Portal-Geräten, insbesondere in Hotels und Konferenzzentren, in den bisherigen Berichten zu FrostArmada nicht dokumentiert war. Auch die Angreifer-Infrastruktur unterscheide sich von früheren FrostArmada-Aktivitäten: Die verwendeten Domain-Registrierungen und IP-Adressen stimmten nicht mit Infrastruktur überein, die zuvor in APT28-Kampagnen beobachtet wurde.