Kommentare zu folgendem Beitrag: CaptiveCrunch macht das Hotel-WLAN zur Malware-Schleuse
CaptiveCrunch manipuliert das Hotel-WLAN und DNS. Volltunnel, Exit-Node, eigener Resolver und Kill-Switch schützen vor gefälschten Updates.
Kommentare zu folgendem Beitrag: CaptiveCrunch macht das Hotel-WLAN zur Malware-Schleuse
Ist ja viel text zum Lesen und immer wieder wird erwähnt, was gemacht gemacht werden soll und wozu das gut ist.
Aber mit keinem Wort wird erwähnt, wie die angreifer genau das WLan auf der Anmeldeseite schon Kompromittieren wollen.
Um DNS und alles zu ändern, müssen die Einstellungen hinter der Anmeldung Verändert werden, dazu ist aber scheinbar nichts im Artikel zu finden.
Jap…hab dazu noch dies gefunden, was eigentlich alles soweit erklärt…
Aber @sourecremesauce schreibt zumindest immer wieder Texte, die durchaus interessant sind, wenn auch manchmal ein wenig langatmig. Vielleicht übt er auch für eine akademische Karriere, wo das durchaus üblich ist. Aber dann müsste das auch das mit dem WLAN erwähnt werden.
Danke für den Link, aber da wird auch nicht beschrieben, wie die Schadsoftware nun auf die Seite des WLan Erstellers kommt.
Klar, wenn ich mich mit dem WLan verbinde und die Login Seite erscheint, kann sich die Malware einschleusen…auf meinem Gerät.
Aber wie kommt die Schadsoftware auf die Anmeldeseite.
Dazu müsste ja der W-Lan „Anbieter“ Kompromittiert werden.
Vielleicht mach dieses Diagramm, es fuer dich deutlicher:
Und wenn es du noch detailierter brauchst, kannst du dich nach Anmeldung hier kundig machen:
https://socprime.com/active-threats/captivecrunch-campaign-delivers-malware-and-steals-traveler-credentials/
Der ursprüngliche Angriffsweg wird weiterhin untersucht. ReliaQuest schätzt mit geringer bis mittlerer Wahrscheinlichkeit ein, dass eine Kombination aus ungeschützten Verwaltungsschnittstellen und schwachen oder wiederverwendeten Administratorzugangsdaten den Zugriff ermöglicht haben könnte, jedoch verhinderten die genannten Transparenzbeschränkungen eine Bestätigung.
https://thehackernews.com/2026/08/hijacked-hotel-wi-fi-pushes-fake.html
1 Like
Auf dem Diagramm ist das WLan bereits Infiziert!
Bei laufender Bedrohung wie CaptiveCrunch (aktiv seit Mai 2026) halten Sicherheitsbehörden und Hersteller oft kritische Details zurück, bevor Patches verfügbar sind. Microsoft hat nur das Ergebnis der Kompromittierung dokumentiert (DNS/HTTP-Manipulation), nicht den Initialzugriff. Mehr Informationen tauchen normalerweise erst auf, wenn betroffene Gerätehersteller Security Advisories veröffentlichen.
Aktuell musst du dich also noch etwas gedulden. Falls du aus dem akademischen oder industriellen Sicherheitsbereich kommst, erhältst du eventuell früheren Zugang zu detaillierteren Informationen über entsprechende Kanäle.
Das es darüber keine Informationen gibt, war mir schon klar.
Das habe ich ja auch schon im ersten Beitrag geschrieben.
ReliaQuest schätzt die -Kampagne (die im April 2026 unterbrochen wurde) als gering bis mittel ein! Die Ähnlichkeit zwischen den TTPs und APT28 (Fancy Bear / Forest Blizzard), einer russischen Militärgeheimdienstgruppe, sowie der FrostArmada ist verblüffend. Die aktuelle Kampagne wird aufgrund fehlender direkter technischer Verbindungen nicht direkt APT28 zugeordnet (unterschiedliche Infrastruktur, fehlende selektive Weiterleitung anhand von Schlüsselwörtern und die Hinzufügung undokumentierter WPADs und Gerätecode-Abläufe in FrostArmada).
Allerdings ähneln sich die Angriffe auf die Captive-Portal Gateways sehr mit denen aus FrostArmada. Deren Infra wurde vor kurzem noch durch das DoJ und dem FBI offline genommen. Seit diesem „shutdown“ wurde vermehrt CaptiveCrunch wahrgenommen.
Warum das wichtig sein könnte…?
Weil die Angriffsvektoren bei CaptiveCrunch und FrostArmada nahezu identisch sind.
Um die Captive-Portal Gateways unterwandern zu können, wurden die Angriffe auf unsichere MikroTik- und TP-Link-Router (SOHO) ausgeführt. Diese weisen in den bekannten Fällen alle eine Sicherheitslücke auf, die lange bekannt
ist → CVE-2023-50224