CaptiveCrunch manipuliert das Hotel-WLAN und DNS. Volltunnel, Exit-Node, eigener Resolver und Kill-Switch schützen vor gefälschten Updates.
Das WLAN und die Anmeldeseite sind echt. Nur das Gateway gehört inzwischen jemand anderem. Die Cyberangriffskampagne CaptiveCrunch nutzt diesen Zugang, um Hotelgäste auf gefälschte Updates und präparierte Anmeldeseiten umzuleiten.
CaptiveCrunch: die Täter und ihre Vorgehensweise
Das Bedrohungsanalyse-Team von Microsoft Threat Intelligence beobachtet die Kampagne seit Anfang Mai diesen Jahres. Davon betroffen sind Hotels, Konferenzzentren und andere Gebäude mit Captive Portals, als vorgeschaltete Anmeldeseiten für den WLAN-Zugang. Microsoft nennt als Verantwortlichen die Untergruppe Storm-2945 von Midnight Blizzard, also wahrlich keine unbekannten Täter. Das Ganze hat übrigens trotz des ähnlichen Namens nichts mit den bekannten Frühstücksflocken oder dem in die Jahre gekommenen Hacker John Draper (Cap’n Crunch) gemeinsam, der in den späten 1960-Jahren in den USA das kostenlose wie illegale Telefonieren (Blue Boxing) bekannt gemacht hat.
Der Angriff von CaptiveCrunch beginnt nicht erst auf dem Laptop, sondern viel früher, bereits am Hotel-Gateway. Nach der Verbindung weist es dem Gerät die Netzwerkkonfiguration und meist auch den dazugehörigen DNS-Resolver zu. Kontrolliert ein Angreifer diesen Zugangspunkt, kann er Anfragen nach legitimen Domains auf seinen eigenen Server umleiten.
Automatische Verbindungstests von Windows und verschiedenen Browsern helfen dabei unbewusst mit. Nach dem Verbindungsaufbau prüfen sie, ob das Internet erreichbar ist oder ob noch ein Captive Portal wartet. CaptiveCrunch liefert statt der erwarteten Antwort ein angeblich notwendiges Browser-, Treiber- oder Windows-Update.
Internet-Zugang nur per PowerShell-Befehl oder infizierte APK?
Einige Varianten arbeiten mit dem schon lange einschlägig bekannten ClickFix. Die präparierte Webseite fordert den Nutzer auf, einen kopierten Befehl in PowerShell oder einem anderen Windows-Werkzeug auszuführen. Davon kann man grundsätzlich nur abraten! Für Android gibt es zudem Hinweise auf angebliche APK-Downloads, die benötigt werden um ins Internet zu kommen.
Wer sich mit solchen Angriffen beschäftigt, dürfte den eilig ausgeworfenen Köder schnell erkennen. Darauf ist die Kampagne aber gar nicht angewiesen. In einem gut belegten Hotel reichen wenige Gäste, die das vermeintliche Update installieren oder ihre Zugangsdaten auf einer präparierten Seite eingeben.
Das Cybersicherheitsunternehmen ReliaQuest hat solche manipulierten Gateways in Hotels, Konferenzzentren und anderen gemeinsam genutzten Netzwerken entdeckt. Einige brachten Windows dazu, automatisch einen von den Angreifern kontrollierten Proxy zu verwenden. Anschließend lief der Datenverkehr verschiedener Programme noch noch über deren Infrastruktur.
CaptiveCrunch nutzt eine echte Microsoft-Website mit falschem Code
CaptiveCrunch muss nicht einmal Schadsoftware auf dem jeweiligen Rechner installieren. Die Kampagne leitete Nutzer auch auf echte Microsoft-Seiten zur Anmeldung per Gerätecode weiter. Der dort angezeigte Code gehörte allerdings zu einer Sitzung des Angreifers. Wer sich damit anmeldete und die Mehrfaktorabfrage bestätigte, verschaffte dem Angreifer unwissentlich Zugriff auf das eigene Konto.
Wer stattdessen das vermeintliche Update ausführte, konnte sich „CornFlake” einfangen. Der in Go geschriebene Windows-Trojaner kopierte sich ins Benutzerprofil und tarnte sich dort als Cloud-Synchronisierungsdienst. Mehrere Autostart-Einträge hielten ihn im System. Wurde einer davon entfernt, stellte ein Watchdog ihn wieder her und „CornFlake” konnte weiter sein Unwesen treiben.
Anschließend protokollierte der Trojaner Tastatureingaben, las die Zwischenablage aus und erstellte Bildschirmaufnahmen. Auch auf das Mikrofon, die Webcam, die Browser-Sitzungen, die Dateien und die angeschlossenen USB-Laufwerke konnte er zugreifen. Über eine entfernte Kommandozeile konnten die Angreifer zudem gezielt Befehle auf dem infizierten Rechner ausführen.
Midnight Blizzard hat es auf Firmen-Notebooks abgesehen
Zusätzlich kam häufig ChocoShell zum Einsatz. Der PowerShell-Infostealer lief direkt im Arbeitsspeicher und suchte dort nach Cookies, Passwörtern, Anmeldetoken und gespeicherten WLAN-Zugängen. Damit zielte die Kampagne vor allem auf gewöhnliche Windows-Notebooks ab, wie sie Unternehmen ihren Mitarbeitern auf Reisen zur Verfügung stellen. Besonders wertvoll waren dabei die darauf geöffneten Firmenkonten.
Gerade rund um die Black Hat in Las Vegas trifft CaptiveCrunch damit auf ein interessantes Umfeld. Dort kommen nicht nur Sicherheitsforscher zusammen, sondern auch Aussteller, Pressevertreter und Dienstleister mit Firmen-Notebooks und teilweise auch mit vertraulichen Informationen.
Nach Messeschluss wartet das normale Hotelnetz
Seit dem 1. und noch bis zum 6. August findet im Mandalay Bay Convention Center die Cybersicherheits-Konferenz Black Hat USA 2026 statt. Sicherheitsforscher präsentieren dort neue Schwachstellen, Exploits und Angriffstechniken. Ein Teil dieser Informationen macht man aber erst mit dem jeweiligen Vortrag öffentlich.
Die Forscher sind allerdings nicht die einzigen interessanten Personen vor Ort. Die Aussteller bringen interne Produktstände, Demo-Zugänge, Präsentationen, Kundendaten, Roadmaps und Informationen über noch unveröffentlichte Patches mit. Auf den Notebooks der Presse liegen Artikel, Fotos, Interviewaufnahmen und Informationen, die noch einem Embargo unterliegen. Aussteller und Sicherheitsforscher können zusätzlich vertrauliche Unterlagen mitführen, die durch eine Geheimhaltungsvereinbarung geschützt sind. Viele dieser Geräte sind gleichzeitig mit Mailkonten, Cloudspeichern und Firmennetzen verbunden.
Glücklicherweise überlässt die Black Hat ihr Veranstaltungsnetz nicht einfach dem Hotel. Ein eigene Leitstelle namens Network Operations Center (NOC) baut innerhalb weniger Tage eine temporäre Infrastruktur auf und überwacht sie während der gesamten Konferenz. 2026 kommt erstmals ein öffentlich zugänglicher NOC-Outpost hinzu.
Die Schadsoftware wird zunächst im Hotel-WLAN-Netz aktiv
Nach Messeschluss kehren die Teilnehmer, Aussteller und Pressevertreter in ihre jeweiligen Hotelzimmer zurück. Dort wartet wieder das normale Gäste-WLAN vom Mandalay Bay Resort oder eines der umliegenden Hotels. Auch in Restaurants und Lobbys greifen viele zum nächstbesten Zugang, nämlich dem Gast-WLAN vor Ort.
CaptiveCrunch müsste das Veranstaltungsnetz deshalb gar nicht direkt angreifen. Das Hotel-Gateway könnte den ersten Schritt übernehmen und einen Rechner kompromittieren, bevor dessen Besitzer am nächsten Morgen die Konferenz betritt.
Die Schadsoftware bleibt schließlich nicht im Hotelzimmer und wartet, bis er zurückkehrt. Sobald sich der infizierte Laptop mit dem Black-Hat-Netz verbindet, hat die Schadsoftware einen Ausgangspunkt innerhalb der Infrastruktur des Veranstalters erreicht. Das bedeutet jedoch noch keine Übernahme des NOC. Von dort aus kann CornFlake aber einen seiner Kontrollserver erreichen, nach sichtbaren Diensten suchen oder versuchen, einen weiteren Fehler auszunutzen.
Bei Geräten von Ausstellern kommt möglicherweise der Zugriff auf Demo-Umgebungen oder interne Unternehmenssysteme hinzu. Ein gestohlener Zugang muss das Konferenznetz nicht einmal angreifen. Er funktioniert später genauso gut aus dem Internet.
Das NOC begrenzt solche Bewegungen zwar durch Firewalls, Überwachung und getrennte Netzsegmente, aber kein Schutz ist absolut. Bei der Black Hat 2025 trennten die Betreiber unter anderem die einzelnen Trainingsnetze voneinander. Das NOC und das SOC untersuchten gemeinsam den Verkehr auf auffällige Aktivitäten.
Eine gute Segmentierung verhindert nicht, dass ein bereits infizierter Rechner Daten verliert. Sie erschwert ihm jedoch den Sprung auf andere Systeme. Für CaptiveCrunch auf der diesjährigen Black Hat gibt es bisher keine Belege. Die Angriffskette bleibt trotzdem realistisch: Das Hotel liefert die Infektion, der Besitzer trägt sie im Rucksack zur Konferenz.
Auch das Hotelzimmer bleibt ein Risiko
Im Jahr 2018 war ich selbst als Sicherheitsforscher in Las Vegas und wohnte im Caesars Palace. Dort versuchten mehrere bewaffnete Personen, die sich nicht auswiesen, in mein Zimmer zu gelangen. Meiner Einschätzung nach wollten sie an meinen Laptop.
Aufgrund ihrer Waffen und ihres Auftretens dachte ich damals, dass es sich um FBI-Beamte handeln könnte. Sicher belegen kann ich das allerdings nicht. Niemand zeigte einen Dienstausweis oder nannte den Namen einer Behörde.
Mit meiner Erfahrung stand ich nicht alleine da. Mehr als zwei Dutzend Teilnehmer verschiedener Sicherheitsveranstaltungen meldeten damals Kontrollen ihrer Hotelzimmer. Die Berichte betrafen unter anderem die Hotels Mandalay Bay, Luxor, Caesars Palace, Flamingo und Aria. Teilweise ignorierten die Sicherheitskräfte belegte Zimmer und angebrachte „Do not disturb“-Schilder.
Resorts World kündigte 2024 während der Black Hat und DEF CON erneut tägliche Kontrollen an. Als Begründung wurden unter anderem makabererweise mögliche Cyberangriffe genannt. Für Gäste mit Laptops und Datenträgern blieb es trotzdem ein illegaler Zugriff durch fremde Personen.
Die Black Hat findet inzwischen im Mandalay Bay und nicht mehr im Caesars Palace statt. Schade eigentlich, denn mit dem Flipper Zero konnte man seine Hotelzimmerkarte dort ganz einfach klonen – natürlich nur aus Angst vor Verlust. Ich selbst habe es nicht getestet, aber mir wurde berichtet, dass es möglich gewesen sei.
Ein übernommenes Gateway fällt dagegen zunächst nicht auf. Der Köder erscheint direkt auf dem Laptop und gibt sich als Teil des Hotel-WLANs aus, das der Gast ohnehin verwenden wollte.
Sensible Daten bleiben besser zu Hause
Wer auf Reisen mit Diebstahl, Zimmerkontrollen oder neugierigen Behörden rechnen muss, sollte wichtige Daten gar nicht erst mitnehmen. Forschungsunterlagen, Quellcode und andere sensible Dateien sollten besser auf der eigenen, abgesicherten Infrastruktur bleiben. Das Reisegerät verbindet sich bei Bedarf über einen verschlüsselten Tunnel dorthin.
Eine gewöhnliche Cloud verschiebt das Problem lediglich. Wenn dauerhafte Browser-Sitzungen, Anmeldetoken oder vollständig synchronisierte Ordner auf dem Notebook gespeichert bleiben, kann ein Angreifer trotzdem darauf zugreifen. Kurzlebige Sitzungen, Passkeys und ein Hardware-Schlüssel sind wirksamer als der nächste Ordner bei irgendeinem Cloudanbieter.
Auch die Laufwerksverschlüsselung funktioniert nur , wenn der Rechner ausgeschaltet ist. Der Stand-by-Modus hält weiterhin Sitzungen offen und behält auch Schlüssel im Arbeitsspeicher. Nach der Reise lassen sich die verwendeten Sitzungen widerrufen und nicht mehr benötigte Zugangsschlüssel ersetzen.
Tailscale ohne Exit-Node reicht nicht aus
Gegen das manipulierte Hotel-Gateway hilft nur ein Volltunnel. Dieser muss IPv4, IPv6 und DNS erfassen. Split-Tunneling lässt also ausgerechnet den Verkehr offen, den CaptiveCrunch auch umleiten will.
Dafür reichen WireGuard oder OpenVPN. Tailscale funktioniert ebenfalls, sobald ein Exit-Node den normalen Internetverkehr übernimmt. Ohne Exit-Node schützt Tailscale nur Verbindungen innerhalb des eigenen Tailnets. Browser, Updates und sonstige Internetdienste laufen dementsprechend weiterhin über das Hotel-Wifi.
Ein eigener VPS kann selbstverständlich auch die Funktion eines Exit-Nodes übernehmen. Wer natürlich auch den Kontrolldienst selbst betreiben will, verwendet dafür Headscale. Da dort viele Funktionen fehlen, die man bei Tailscale gratis dazu bekommt, werden es vermutlich die wenigsten wirklich im Alltag nutzen. Alternativ kommt ein VPN-Anbieter wie Mullvad infrage, für unsere Tailscale-Jünger, mich eingeschlossen, natürlich Mullvad als Exit-Node.
Der eigene DNS-Resolver gehört selbstverständlich hinter denselben Tunnel oder als voreingestelltem DNS ins Tailnet. Sonst fragt das Notebook zwar den richtigen Server, schickt die Anfrage aber weiterhin durch das manipulierte Hotelnetz.
Ein Kill-Switch bleibt im Kampf gegen CaptiveCrunch elementar
Ohne Kill-Switch bleibt aber selbst ein gutes VPN löchrig. Der Tunnel startet möglicherweise zu spät, fällt kurzzeitig aus oder wurde auf einem anderen Gerät gar nicht erst aktiviert. Schon laufen DNS-Anfragen und andere Verbindungen wieder direkt über das infizierte Hotelnetz.
Wer mehrere Geräte dabei hat, kann den Tunnel zentral aufbauen. Mobil-Router von GL.iNet sind nur ein Beispiel dafür. Vergleichbare Router mit WireGuard, OpenVPN oder Tailscale erfüllen natürlich auch den gleichen Zweck.
Das Gateway meldet sich am Hotel-WLAN an und stellt dahinter ein eigenes verschlüsseltes Netz bereit. Laptop, Tablet-PC und Smartphone kennen nur diesen Zugang. Fällt der Exit-Node aus, muss natürlich die integrierte Firewall jede direkte Verbindung sperren.
Das sollte man logischerweise vor der Reise auch einmal ausprobieren. Exit-Node abschalten und anschließend eine Webseite öffnen. Funktioniert sie weiterhin, gibt es keinen brauchbaren Kill-Switch. Bei Tailscale als bestes Beispiel schützt ein Menüpunkt namens ‚Block non-VPN traffic‘ nicht automatisch jede Konfiguration.
Bei korrekt aufgebautem Tunnel sieht das Hotel-Gateway nur die verschlüsselte Verbindung zum Exit-Node. Es kann sie blockieren oder bremsen. DNS-Antworten austauschen und Downloads manipulieren kann es aber nicht.
Mobilfunk bleibt die einfachste Lösung
Wer sich die gesamte Diskussion sparen will, umgeht das Hotel-WLAN mit einem Smartphone-Hotspot, einer lokalen eSIM oder als Kunde der Deutschen Telekom mit Gratis-US-Roaming, was je nach Vertrag bereits inkludiert sein kann. Man sollte es vorher natürlich in seinem Vertrag überprüfen, damit es nicht plötzlich ein böses Erwachen gibt. Es geht auch ein eigener, mitnehmbarer Mobilfunkrouter. Je nach Hotel kann das in den USA sogar günstiger sein als der oft zusätzlich berechnete WLAN-Zugang im Zimmer.
Wenn das Smartphone das Hotel-WLAN dagegen als Repeater nutzt, bleibt das Gateway Teil der Verbindung. Android leitet den Datenverkehr angeschlossener Geräte außerdem nicht automatisch durch den VPN-Tunnel des Telefons. Dann braucht jedes Gerät seinen eigenen Tunnel oder das Smartphone muss tatsächlich als VPN-Gateway fungieren. Das erfordert Root-Zugriff und ist daher eher unrealistisch.
GrapheneOS behandelt die Anmeldung an Captive Portals gesondert. Das System prüft neue Verbindungen standardmäßig über eigene Connectivity-Check-Server und kann viele Portale öffnen, obwohl Always-on-VPN und die Sperre für ungetunnelten Verkehr aktiv bleiben.
Über diese Server läuft nur die Erkennung. Sie leiten weder die Hotelseite als Proxy weiter, noch schützen sie andere Geräte hinter dem Smartphone.
Ein Hotelportal muss keinen Treiber installieren, kein Zertifikat importieren und keine APK verteilen. Taucht eine solche Aufforderung auf, darf nicht geklickt werden. Die Verbindung sollte man besser direkt trennen.
