Microsoft zufolge nutzt die Kampagne zwei zentrale Vorgehensweisen. Bei der ersten werden Opfer auf gefälschte Microsoft-Authentifizierungsseiten umgeleitet. Dadurch können die Angreifer Anmeldedaten abfangen und Zugriff auf Microsoft-365-Konten erlangen.

Die zweite Methode setzt auf gefälschte Update-Seiten für Browser oder Betriebssysteme. Diese Seiten sollen Nutzer mit ClickFix-artigem Social Engineering dazu bringen, die Schadsoftware selbst zu installieren. Microsoft beschreibt die Seiten als Bestandteil der Umleitung über manipulierten Netzwerkverkehr in bereits kompromittierten WLAN-Umgebungen.

Als wichtigste Malware-Familien nennt Microsoft CornFlake und ChocoShell. CornFlake ist ein Remote-Access-Trojaner, der den Betreibern dauerhafte Kontrolle über infizierte Windows-Rechner verschafft. Nach der Installation kann die Schadsoftware Dateien sammeln, Tastatureingaben aufzeichnen, Passwörter und Authentifizierungs-Token stehlen, Audio und Video erfassen, Wechseldatenträger wie USB-Laufwerke erkennen und kompromittierte Systeme aus der Ferne steuern.

ChocoShell beschreibt Microsoft als Infostealer, der Browser-Cookies, gespeicherte Passwörter, Microsoft-365-Token für einmaliges Anmelden sowie WLAN-Zugangsdaten abgreift. Während CornFlake auf einen langfristigen Zugang zu kompromittierten Geräten ausgelegt sei, solle ChocoShell Anmeldedaten möglichst schnell extrahieren, um damit auf Cloud-Konten und andere Onlinedienste zuzugreifen.

Nach Einschätzung von Microsoft könnte sich die Operation über Windows hinaus ausweiten. Einige der gefälschten Update-Seiten enthalten demnach Anweisungen, die Android-Nutzer zum Herunterladen und Installieren einer schädlichen Anwendung auffordern.

Bei der Zuordnung der Kampagne weicht Microsoft von einer früheren Einschätzung von ReliaQuest ab. Das Sicherheitsunternehmen hatte erklärt, die Taktiken erinnerten an APT28, auch bekannt als Fancy Bear oder Forest Blizzard, also die russische Hackergruppe des Militärgeheimdienstes. ReliaQuest verwies dabei auf frühere routerbasierte Kampagnen gegen Microsoft-365-Konten.

Bereits im April hatte das britische National Cyber Security Centre gewarnt, dass APT28 verwundbare Internet-Router ausnutze, um Webverkehr zu kapern und Spionage zu betreiben, indem schlecht abgesicherte oder veraltete Netzwerkgeräte kompromittiert werden.

Microsoft ordnet die jetzt beobachtete Aktivität dagegen Storm-2945 zu und beschreibt die Gruppe als Teil von Midnight Blizzard, das auch unter den Namen APT29, Cozy Bear und BlueBravo bekannt ist. Diese Spionagegruppe richte sich nach Angaben des Unternehmens vor allem gegen Regierungen, diplomatische Vertretungen sowie Organisationen aus den Bereichen Verteidigung, Energie, Medien und Politik zur Unterstützung russischer außenpolitischer Ziele.

Obwohl sich die aktuelle Aktivität laut Microsoft und ReliaQuest weitgehend auf Hotels konzentriert, hatte ReliaQuest zuvor gewarnt, dass grundsätzlich jede Organisation mit Captive-Portal-Netzwerken zum Ziel werden könnte. Das schließe Flughäfen, Konferenzzentren, Co-Working-Spaces, Universitäten, Gesundheitseinrichtungen und Veranstaltungsorte ein.