Nach Angaben von Microsoft beobachtet das Unternehmen die Manipulation des Datenverkehrs seit Anfang Mai in Gastgewerbe-Netzwerken in mehreren Ländern. Konkrete Hotels, Veranstaltungsorte oder Anbieter von Captive-Portalen nennt Microsoft nicht. Auf den von ReliaQuest untersuchten kompromittierten Netzwerken diente das Gateway des Captive Portals auch als DNS-Resolver für verbundene Geräte. Diese Position erlaubte es den Angreifern, DNS-Antworten zu fälschen, den Verkehr umzuleiten und etwa die automatische Konnektivitätsprüfung eines Laptops auf eine gefälschte Browser- oder Betriebssystem-Aktualisierung zu lenken.

Einige der Seiten setzen auf ClickFix-Anweisungen. Dabei werden Betroffene aufgefordert, ein Terminal oder ein anderes Windows-Werkzeug zu öffnen und einen von den Angreifern gelieferten Befehl auszuführen. Das Gateway bestimmt also das Ziel der Umleitung, infiziert Endgeräte aber nicht lautlos. Für eine Kompromittierung müssen Nutzer die Nutzlast selbst herunterladen oder starten.

Seit dem 16. Juli leiten einige CaptiveCrunch-Landing-Pages Gäste nach Angaben von Microsoft in den Gerätecode-Authentifizierungsablauf von Microsoft weiter. Wer den von den Angreifern gelieferten Code auf der legitimen Anmeldeseite von Microsoft eingibt, kann einer von den Angreifern kontrollierten Sitzung Zugriff mit bereits erfüllter Mehrfaktor-Authentifizierung verschaffen. Microsoft empfiehlt, diesen Ablauf per Conditional Access zu blockieren, wo er nicht benötigt wird.

CornFlake ist laut Microsoft ein in Go geschriebener Implantat-Code. Er kopiert sich nach %APPDATA%\svchost32\svchost32.exe und registriert den Dienst svchost32 unter dem Anzeigenamen Cloud Sync Service. Währenddessen soll ein gefälschtes Fortschrittsfenster die Aufmerksamkeit des Opfers binden. Microsofts Analyse zufolge kann die Malware bei Inaktivität ausgelöste Bildschirmaufnahmen erstellen, Inhalte der Zwischenablage zusammen mit dem Titel des aktiven Fensters aufzeichnen, Browser-Cookies und gespeicherte Passwörter stehlen, darunter auch durch Chrome App-Bound Encryption geschützte Cookies, Wechseldatenträger durchsuchen und eine Remote-Shell öffnen. Für Persistenz nutzt CornFlake zudem einen Run-Schlüssel in der Registry und eine geplante Aufgabe; ein Watchdog stellt entfernte Persistenzmechanismen wieder her.

Zusätzlich identifizierten die Forscher ChocoShell, einen im Arbeitsspeicher laufenden PowerShell-Stealer. Er sammelt Microsoft-365- und Azure-Active-Directory-Zugriffs- und Aktualisierungstoken sowie Web-Account-Manager-Tokens aus .tbres-Dateien im Token-Broker-Cache. Laut Bericht können die gestohlenen Tokens eine Sitzungswiederholung auch ohne Browser-Cookie ermöglichen.

Die Berichte dokumentieren aktive Umleitungen und die Auslieferung von Malware, beziffern aber weder Reichweite noch Erfolgsquote. Ohne Zahlen zu erfolgreichen Ausführungen, genehmigten Gerätecodes oder übernommenen Konten bleibt öffentlich offen, wie oft eine Umleitung tatsächlich in eine Kompromittierung mündete.

Microsoft fand in den betroffenen Netzwerken gemeinsame Geräte und Verwaltungssysteme. Das könne auf Zugriff auf gemeinsam genutzte Dienste in Teilen des Captive-Portal-Ökosystems hindeuten, sodass die Kompromittierungen nicht auf einzelne Standorte beschränkt gewesen sein könnten. Einen betroffenen Anbieter nennt Microsoft nicht. ReliaQuest hatte dieselben Domains, die sich als Microsoft ausgaben, sowie überlappende Infrastruktur bereits acht Tage früher dokumentiert. Das Unternehmen sah Ähnlichkeiten zu APT28, der auch als Fancy Bear und Forest Blizzard bekannten GRU-Einheit, vermied aber eine Zuschreibung, weil sich die Einschätzung nur auf Überschneidungen bei Taktiken, Techniken und Verfahren stützt, nicht auf eine direkte technische Verknüpfung.

Microsoft verweist selbst auf Ähnlichkeiten mit der im April offengelegten Router-Kaperung durch Forest Blizzard, schreibt CaptiveCrunch aber Storm-2945 zu. Das britische National Cyber Security Centre und internationale Partner gehen davon aus, dass APT29 mit an Sicherheit grenzender Wahrscheinlichkeit Teil des russischen Auslandsnachrichtendienstes ist. Diese staatliche Zuschreibung bezieht sich auf die übergeordnete APT29-Gruppe; die Verbindung von CaptiveCrunch zu Storm-2945 bleibt Microsofts Einschätzung. Der ursprüngliche Angriffsvektor wird weiter untersucht. ReliaQuest hält es mit geringer bis mittlerer Sicherheit für möglich, dass eine Kombination aus offengelegten Verwaltungsoberflächen sowie schwachen oder wiederverwendeten Administrator-Zugangsdaten den Zugriff ermöglicht hat, konnte dies wegen begrenzter Einblicke aber nicht bestätigen.