Cyberatak przez hotelowe Wi-Fi? Niestety tak. Microsoft ostrzega przed nową kampanią cyberataków wykorzystującą właśnie takie sieci. Wystarczy niewiele, by narazić swoje dane i sprowadzić na siebie kłopoty.

Cyberatak przez hotelowe Wi-Fi to kampania ataków, której celem są publiczne sieci Wi-Fi w hotelach i centrach konferencyjnych. Microsoft alarmuje – działania związane z atakowaniem sieci Wi-Fi monitoruje od wiosny. O akcji donosi portal komputerswiat.pl

Cyberatak przez hotelowe Wi-Fi, czyli CaptiveCrunch

Kampanię nazwano CaptiveCrunch. Według Microsoftu stoi za nią rosyjska grupa Storm-2945, będąca odłamem Midnight Blizzard, znanej również jako APT29 lub Cozy Bear. Zachodnie służby wiążą tę grupę ze Służbą Wywiadu Zagranicznego Federacji Rosyjskiej (SVR).

Hotelowe Wi-Fi pod kontrolą hakerów. Jak wygląda atak?

Mechanizm może być szczególnie niebezpieczny dlatego, że wykorzystuje zachowania, które dla podróżnych są zupełnie normalne. Po połączeniu z hotelowym Wi-Fi często automatycznie otwiera się strona, na której trzeba zaakceptować regulamin, podać numer pokoju albo zalogować się do sieci. Właśnie ten moment próbują wykorzystać cyberprzestępcy.

Atakujący manipulują zapytaniami DNS i HTTP w punktach dostępu do Wi-Fi. W efekcie zamiast prawdziwej strony użytkownik może zobaczyć spreparowany komunikat o konieczności wykonania aktualizacji. Może chodzić na przykład o rzekomą aktualizację przeglądarki, systemu Windows albo programu zabezpieczającego. W innych przypadkach pojawia się fałszywa strona logowania do Microsoft 365, której zadaniem jest przejęcie danych użytkownika.

Fałszywa aktualizacja może zainstalować złośliwe oprogramowanie

Jeżeli użytkownik zastosuje się do instrukcji wyświetlanych na podstawionej stronie, może sam pobrać na urządzenie złośliwe oprogramowanie. Ataki są skierowane przede wszystkim przeciwko komputerom pracującym pod kontrolą Windows. Zagrożone mogą być również urządzenia z Androidem. Jednym z wykorzystywanych narzędzi jest CornFlake. To trojan umożliwiający zdalny dostęp do zaatakowanego urządzenia. Program może m.in. rejestrować naciśnięcia klawiszy, wykonywać zrzuty ekranu oraz uzyskiwać dostęp do mikrofonu i kamery. Może również przejmować hasła zapisane w przeglądarce oraz pliki cookies.

Drugim z opisywanych narzędzi jest ChocoShell. Jego zadaniem jest przede wszystkim przejmowanie danych logowania do Microsoft 365 i Azure, haseł przechowywanych w przeglądarce oraz informacji umożliwiających dostęp do sieci Wi-Fi.

Do zarządzania zainfekowanymi urządzeniami napastnicy wykorzystują natomiast panel określany jako FruitStone.

Hakerzy próbują ominąć dodatkową ochronę kont

Samo posiadanie dodatkowego zabezpieczenia konta nie oznacza, że można bez zastanowienia wykonywać polecenia pojawiające się na ekranie. Microsoft zwraca uwagę na wykorzystywanie phishingu kodu urządzenia, określanego także jako GhostPairing.

Na czym polega atak? Na próbie powiązania kolejnego urządzenia z kontem użytkownika. Do zakończenia procesu potrzebny jest kod. Jeżeli ofiara poda go przestępcom albo wpisze na podstawionej stronie, może w ten sposób umożliwić autoryzację urządzenia kontrolowanego przez atakujących.

Microsoft obserwuje wykorzystywanie tej metody w działaniach Midnight Blizzard od sierpnia 2024 roku. Nowym elementem jest używanie jej w połączeniu z sieciami hotelowymi.

Korzystasz z Wi-Fi w hotelu? Uważaj na jeden rodzaj komunikatów

Microsoft zaleca, aby publiczne sieci Wi-Fi w hotelach oraz centrach konferencyjnych traktować jako potencjalnie niebezpieczne. Jeśli mamy taką możliwość, bezpieczniejszym rozwiązaniem jest skorzystanie z transmisji danych w telefonie albo własnego hotspotu. Szczególną ostrożność należy zachować, jeśli zaraz po połączeniu z hotelowym Wi-Fi pojawi się żądanie pobrania aktualizacji, certyfikatu albo programu zabezpieczającego.

Takich poleceń nie należy wykonywać. Aktualizacje systemu operacyjnego i aplikacji powinny być pobierane poprzez ich wbudowane mechanizmy aktualizacji, a nie za pośrednictwem przypadkowego okna pojawiającego się po połączeniu z publiczną siecią.

Hotelowe Wi-Fi a konta służbowe. Microsoft zaleca ostrożność

Szczególnie uważać powinny osoby podróżujące służbowo i korzystające podczas wyjazdu z firmowego laptopa lub telefonu. W przypadku ważnych kont Microsoft rekomenduje metody logowania bez użycia hasła lub przynajmniej uwierzytelnianie dwuskładnikowe. Dane firmowe i służbowe adresy e-mail nie powinny być wykorzystywane do logowania się do hotelowej sieci Wi-Fi.

Jeśli korzystanie z takiej sieci jest konieczne, dodatkową warstwą zabezpieczenia może być VPN. Może on utrudnić przekierowanie ruchu na złośliwe domeny, choć – jak wynika z opisywanego mechanizmu ataku – nie eliminuje całkowicie ryzyka pojawienia się fałszywych komunikatów.

Źródło: Komputer Świat, Microsoft
Fot.: grafika ilustracyjna Pixabay

Czytaj również: