ReliaQuest hatte die Kampagne zunächst mit einer Angriffstechnik vom Typ Gegner-in-der-Mitte beschrieben. Demnach fingen die Täter Microsoft-365-Zugangsdaten von reisenden Beschäftigten ab, nachdem sie DNS-Einstellungen kompromittierter Router kleiner Büro- und Heimnetz-Umgebungen manipuliert hatten. Das Unternehmen sah Ähnlichkeiten zu FrostArmada, einer Spionageoperation der Russland zugeordneten APT28, auch bekannt als Forest Blizzard und Fancy Bear, nahm aber keine eindeutige Zuschreibung vor.
Microsoft schreibt die Kampagne nun Storm-2945 zu. Die Gruppe ist eine Untereinheit von Midnight Blizzard, die auch unter den Bezeichnungen APT29, Cozy Bear, the Dukes und Yttrium verfolgt wird und laut Microsoft vermutlich vom russischen Auslandsgeheimdienst SVR unterstützt wird. Microsoft bezeichnet die aktuelle Operation als CaptiveCrunch.
Midnight Blizzard ist laut Microsoft dafür bekannt, Regierungs- und diplomatische Einrichtungen, Nichtregierungsorganisationen sowie IT-Dienstleister in den USA und Europa für nachrichtendienstliche Zwecke im Interesse der russischen Außenpolitik anzugreifen. „Operationen von Midnight Blizzard beinhalten häufig die Kompromittierung gültiger Konten und in einigen stark zielgerichteten Fällen fortgeschrittene Techniken, um Authentifizierungsmechanismen innerhalb einer Organisation zu kompromittieren, den Zugriff auszuweiten und einer Entdeckung zu entgehen“, erklärt Microsoft.
Nach Angaben des Konzerns begann Storm-2945 im Mai damit, DNS- und HTTP-Verkehr aus Captive-Portal-Netzen zu manipulieren. Dazu zählen Netze in Hotels, Konferenzzentren und anderen gemeinsam genutzten Orten. Microsoft hält es für wahrscheinlich, dass die Angreifer dafür Zugriff auf gemeinsame Dienste innerhalb des Captive-Portal-Ökosystems erlangten.
Im Rahmen von CaptiveCrunch verteilten die Täter außerdem auf Go basierende Windows-Remote-Access-Trojaner, getarnt als Browser-Updates. Die Schadsoftware ermöglichte laut Microsoft Aufklärung, den Diebstahl von Zugangsdaten und Sitzungs-Token, das Sammeln von Dateien und Tastatureingaben, Audio- und Videoüberwachung sowie Fernzugriff auf die Kommandozeile. Die Gruppe setzte demnach verschiedene ClickFix-Techniken ein, um Nutzer zum Herunterladen der Malware zu bewegen, und zielte offenbar mit ähnlichen Methoden auch auf Android-Nutzer ab, um sie zur Installation einer APK-Datei zu verleiten.
Microsoft berichtet, bislang eine weit verbreitete Kompromittierung von WLAN-Netzen bei gastgewerblichen Organisationen und anderen Netzen mit Captive-Portal-Technik in mehreren Ländern festgestellt zu haben. Bei Windows-Nutzern setzte Storm-2945 laut dem Unternehmen den RAT und Infostealer CornFlake sowie den PowerShell-basierten Infostealer ChocoShell ein. Die Infrastruktur und die Implantate verwaltete die Gruppe demnach über das webbasierte Command-and-Control-Panel FruitStone.
In den vergangenen zwei Wochen hätten einige Landingpages von CaptiveCrunch Opfer zudem an Abläufe zur Gerätecode-Authentifizierung weitergeleitet. Die Seiten forderten Nutzer auf, Gerätecodes auf Microsoft-Anmeldeseiten einzugeben, um die Sitzung des Angreifers zu authentifizieren. Microsoft sieht darin eine Fortsetzung bereits gemeldeter Phishing-Operationen mit Gerätecodes, die Midnight Blizzard seit August 2024 einsetzt. „Die beobachtete Technik wirkt im Kern nicht grundlegend neu. Die Einbindung von Gerätecode-Phishing in Captive-Portal- und Verkehrsmanipulationsoperationen könnte jedoch die Wahrscheinlichkeit erhöhen, dass Nutzer die Authentifizierungsanfrage als legitim wahrnehmen“, so Microsoft.