Delta Airlines untersucht einen Rogue-WLAN-Angriff auf einen Flug mit DEF-CON-Teilnehmern 

Passagiere eines Delta-Flugs von Las Vegas nach Atlanta waren von einer Störung betroffen, als ein nicht autorisiertes WLAN-Netzwerk die Besatzung dazu veranlasste, das WLAN an Bord vorübergehend zu deaktivieren. 

Delta untersucht nun den Vorfall, der sich auf Flug 591 mit Passagieren ereignete, die von der Cybersicherheitskonferenz DEF CON 34 zurückkehrten.

„Vorfälle wie dieser erinnern daran, dass Bequemlichkeit sehr schnell Vertrauen schaffen kann. Öffentliches WLAN setzt voraus, dass Nutzer das richtige Netzwerk erkennen“, sagte Ross Filipek, CISO bei Corsica Technologies, in einer E-Mail an eSecurityPlanet.  

Er fügte hinzu: „Angreifer können dieses Vertrauen ausnutzen, wenn es am falschen Ort investiert wird.“

Wichtigste Erkenntnisse zum WLAN-Hacking-Vorfall bei Delta Airlines

• Delta untersucht ein nicht autorisiertes WLAN-Netzwerk , das an Bord des Flugs 591 von Las Vegas nach Atlanta mit DEF-CON-Teilnehmern entdeckt wurde.
• Ein mutmaßlicher WLAN-Deauthentifizierungsangriff unterbrach die Verbindung, woraufhin die Besatzung das WLAN an Bord für etwa 30 Minuten deaktivierte.
• Berichten zufolge wurde ein Rogue-Netzwerk namens „Delta WiFi Fast“ ausgestrahlt, wodurch die Möglichkeit eines Evil-Twin-Angriffs und eines Diebstahls von Zugangsdaten entstand.
• Organisationen können das Risiko nicht autorisierter WLANs reduzieren durch eine stärkere WLAN-Sicherheit, verwaltete Gerätekonfigurationen, phishing-resistente MFA, Überwachung, Mitarbeiterschulungen und erprobte Pläne zur Reaktion auf Sicherheitsvorfälle.

Delta untersucht Rogue-WLAN-Angriff 

Delta bestätigte, dass an Bord der Boeing 757 ein nicht autorisiertes drahtloses Netzwerk auftauchte, erklärte jedoch, der Vorfall habe weder die Sicherheit der Passagiere noch die Betriebssysteme des Flugzeugs beeinträchtigt. 

Gegenüber der Flugsicherung wurde kein Notfall erklärt.

Nachdem das nicht autorisierte Netzwerk entdeckt worden war, deaktivierte die Kabinenbesatzung den WLAN-Dienst des Flugzeugs für etwa 30 Minuten, wie BleepingComputer berichtet. 

Delta erklärte, den Vorfall zu untersuchen und mit den Bundesstrafverfolgungsbehörden sowie den Luftfahrtaufsichtsbehörden zusammenarbeiten zu wollen, um zu klären, was geschehen ist.

Berichte deuten auf einen WLAN-Deauthentifizierungsangriff hin 

Online-Berichten zufolge führten Passagiere, die von der DEF CON-Cybersicherheitskonferenz zurückkehrten, einen WLAN-Deauthentifizierungsangriff durch, der die Verbindungen zum legitimen drahtlosen Netzwerk des Flugzeugs störte. 

Während des Vorfalls wurde Berichten zufolge außerdem ein separates Netzwerk namens „Delta WiFi Fast“ ausgestrahlt, wodurch Passagiere möglicherweise den Eindruck gewannen, es handle sich um einen offiziellen Dienst von Delta.

So funktionieren WLAN-Deauthentifizierungsangriffe 

WLAN-Deauthentifizierungsangriffe missbrauchen Management-Frames, mit denen drahtlose Netzwerke die Verbindungen zwischen Geräten und Access Points steuern. 

Ein Angreifer kann gefälschte Deauthentifizierungs-Frames senden, die scheinbar von einem legitimen Access Point stammen, und verbundene Geräte anweisen, die Verbindung zu trennen. 

Werden diese Frames wiederholt übertragen, können Nutzer möglicherweise keine Verbindung zum legitimen Netzwerk aufrechterhalten, wodurch faktisch eine drahtlose Denial-of-Service-Situation entsteht.

Rogue-WLANs können Evil-Twin-Angriffe ermöglichen 

Die Störung kann außerdem eine Gelegenheit für einen Evil-Twin-Angriff schaffen. 

Nachdem Nutzer von einem legitimen Netzwerk getrennt wurden, kann ein Angreifer einen Rogue-Access-Point mit einem überzeugenden oder vertrauten Namen ausstrahlen. 

Nutzer, die versuchen, die Verbindung wiederherzustellen, wählen möglicherweise versehentlich das betrügerische Netzwerk aus, sodass der Angreifer gefälschte Anmeldeseiten anzeigen, Datenverkehr umleiten oder versuchen kann, vertrauliche Informationen abzugreifen.

Im Fall von Delta behaupteten Berichte Dritter, dass das nicht autorisierte Netzwerk eine Phishing-Seite anzeigte, die dazu diente, persönliche Informationen und Google-Anmeldedaten zu erfassen. 

Delta hat jedoch lediglich die Präsenz eines nicht autorisierten drahtlosen Netzwerks bestätigt und weder die Vorwürfe des Diebstahls von Zugangsdaten öffentlich bestätigt noch die Aktivität bestimmten Personen zugeschrieben.

Für Sicherheitsteams zeigt der Vorfall, wie Angreifer die Störung drahtloser Verbindungen mit Social Engineering kombinieren können, um das Vertrauen der Nutzer in vertraute Netzwerknamen auszunutzen. 

Allein eine bekannte SSID beweist nicht, dass ein Netzwerk legitim ist – insbesondere in öffentlichen Umgebungen wie Flughäfen, Hotels, Konferenzzentren und Verkehrsknotenpunkten.

Die Untersuchung dieses Vorfalls ist zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen.

So lassen sich Risiken durch Rogue-WLANs reduzieren 

Dieser Vorfall erinnert daran, dass Organisationen nicht autorisierte drahtlose Netzwerke sowohl in ihrer Sicherheitsarchitektur als auch in der Sicherheitsschulung ihrer Mitarbeiter berücksichtigen sollten.

• Aktivieren Sie Protected Management Frames (PMF), WPA3-Enterprise und zertifikatsbasierte Authentifizierung, um Spoofing- und Deauthentifizierungsrisiken zu reduzieren.
• Verwenden Sie Mobile Device Management (MDM) , um vertrauenswürdige Netzwerkprofile bereitzustellen, unnötige WLAN-Funktionen zu deaktivieren und automatische Verbindungen zu unbekannten Netzwerken zu verhindern.
• Verwenden Sie drahtlose Tools zur Erkennung und Abwehr von Eindringversuchen , um nicht autorisierte Access Points und Netzwerke zu erkennen, die eine legitime Infrastruktur imitieren.
• Verlangen Sie die Nutzung genehmigter VPNs oder verwalteter Mobilfunkverbindungen , wenn Mitarbeiter von öffentlichen oder nicht vertrauenswürdigen Netzwerken aus auf vertrauliche Ressourcen zugreifen.
• Verwenden Sie phishing-resistente MFA und überwachen Sie Authentifizierungssysteme auf verdächtige Anmeldungen, neue Geräte und ungewöhnliche Sitzungsaktivitäten.
• Bringen Sie Nutzern bei, Evil-Twin-Netzwerke zu erkennen, ebenso wie verdächtige Captive Portals, unerwartete Anmeldeaufforderungen und andere Anzeichen von WLAN-Phishing.
• Testen Sie Pläne zur Reaktion auf Sicherheitsvorfälle und verwenden Sie Angriffssimulationstools mit Szenarien rund um Rogue-WLANs und den Diebstahl von Zugangsdaten.

In ihrer Gesamtheit können diese Maßnahmen Organisationen dabei helfen, ihr Gesamtrisiko zu reduzieren.

Fazit

Szenarien mit Rogue-WLANs können Lücken bei Endpoint-Richtlinien, Identitätskontrollen, Telemetrie und der Reaktion auf Sicherheitsvorfälle offenlegen, die bei herkömmlichen Phishing-Übungen möglicherweise nicht zutage treten. 

Der Vorfall bei Delta unterstreicht, wie wichtig es ist zu überprüfen, wie gut bestehende Kontrollen den Diebstahl von Zugangsdaten erkennen und darauf reagieren können, wenn er von Rogue- oder kompromittierten drahtlosen Verbindungen ausgeht.

Die Anwendung von Zero-Trust-Prinzipien kann Organisationen helfen, ihre Gefährdung insgesamt zu verringern, indem sie unabhängig vom genutzten Netzwerk eine kontinuierliche Überprüfung von Benutzern, Geräten und Zugriffsanfragen verlangt.