Im Zentrum der Kampagne stehen laut Microsoft WLAN-Umgebungen, die über Captive-Portale bereitgestellt werden. Durch die Manipulation von DNS- und HTTP-Verkehr können Angreifer Nutzer auf Phishing-Seiten umleiten, die Microsoft-365-Anmeldeseiten nachahmen. Alternativ leiten sie auf Seiten für Gerätecode-Phishing weiter, die Authentifizierungsabläufe von Microsoft Entra ID missbrauchen. Microsoft beobachtet diese Aktivität nach eigenen Angaben seit Juli.

ReliaQuest hatte die Angriffe zuvor ebenfalls untersucht. Sowohl ReliaQuest als auch Microsoft konnten den genauen Erstzugang nicht bestimmen. Microsoft verweist jedoch auf Anzeichen dafür, dass eher gemeinsam genutzte Infrastruktur als einzelne isolierte Geräte kompromittiert wurde.

Eine dritte Variante, die zuvor nicht offengelegt war, setzt nach Angaben von Microsoft auf gefälschte Update-Seiten für Browser und Betriebssysteme. Diese Seiten liefern über ClickFix-Aufforderungen zur Nutzerbestätigung Malware an Windows-Systeme aus. Microsoft fand in einigen dieser ClickFix-Seiten außerdem Hinweise darauf, dass der Bedrohungsakteur auch Android-Geräte ins Visier nimmt, um eine APK-Datei zu verteilen.

Bei der Analyse der Windows-Schadprogramme identifizierte Microsoft CornFlake als in Go geschriebenen Remote-Access-Trojaner. Nach dem Start blendet die Malware ein gefälschtes Fortschrittsfenster ein, um den Nutzer abzulenken, während sich die Binärdatei zur Persistenz nach %AppData% kopiert. Laut den Forschern lässt sich dieses Fenster so konfigurieren, dass es wie ein Windows-Update-Bildschirm, ein Defender-Virenscan, ein Werkzeug zur Datenträgeroptimierung, ein Netzwerkdiagnose-Tool, eine Browser-Update-Aufforderung oder ein Installationsprogramm für einen Dokumentbetrachter erscheint.

CornFlake tarnt sich als „Cloud Sync Service“, um wie eine legitime Windows-Komponente zu wirken. Für die dauerhafte Verankerung nutzt die Malware mehrere Mechanismen gleichzeitig, darunter die Registrierung als Windows-Dienst, Registry-Run-Keys, geplante Aufgaben und eine Watchdog-Routine, die vorhandene Persistenzmechanismen wiederherstellen soll.

Die zweite Schadsoftware, ChocoShell, beschreibt Microsoft als im Speicher laufenden PowerShell-Dieb für Zugangsdaten. Ziel sind Browser-Cookies, gespeicherte Passwörter, Microsoft-365- und Azure-AD-Token sowie WLAN-Zugangsdaten.

Microsoft stieß außerdem auf ein ungeschütztes webbasiertes Verwaltungspanel namens FruitStone. Darüber habe der Bedrohungsakteur infizierte Systeme verwaltet, Dateien von Opfern durchsucht, PowerShell-Befehle ausgeführt sowie Bildschirmaufnahmen und Tastatureingaben erfasst.

Auf Basis umfangreicher Kommentare im Quellcode geht Microsoft davon aus, dass wahrscheinlich KI-Werkzeuge bei der Entwicklung der beiden Malware-Familien eingesetzt wurden. Als Reaktion empfiehlt das Unternehmen, Hotel- und Konferenz-WLAN grundsätzlich als nicht vertrauenswürdig zu behandeln, wann immer möglich private Mobilfunk- oder verwaltete Verbindungen zu nutzen und keine Software-Updates oder Werkzeuge aus Captive-Portalen zu verwenden. Zudem rät Microsoft zu phishing-resistenter Authentifizierung mit MFA und Passkeys, zum Deaktivieren der Gerätecode-Authentifizierung in Microsoft Entra, wenn sie nicht benötigt wird, und dazu, keine Unternehmenszugänge zur Registrierung in Gast-WLANs zu verwenden.