Microsoft ostrzega , że sieci Wi-Fi w hotelach, na konferencjach i innych obiektach hotelowych są aktywnie wykorzystywane przez rosyjską grupę do atakowania podróżnych na całym świecie. Kampania o nazwie „CaptiveCrunch” zamienia rutynowe logowanie do Wi-Fi w okazję do włamania się na konta i urządzenia firmowe.
Z perspektywy użytkownika nic nie wygląda nadzwyczajnie: łączy się z hotelową siecią Wi-Fi, otrzymuje standardowy komunikat portalu uwierzytelniającego i być może widzi znajomy komunikat o konieczności aktualizacji czegoś przed przeglądaniem. Jednak w tle grupa rzekomo powiązana z państwem pozycjonuje się na ścieżce sieciowej i manipuluje ruchem DNS (Domain Name System) i HTTP z sieci Wi-Fi z portalem uwierzytelniającym.
Stąd może się wydarzyć kilka rzeczy:
- Kradzież danych logowania : sesja przeglądarki użytkownika jest przekierowywana na kontrolowane przez atakujących strony phishingowe, takie jak fałszywe monity logowania do firmy Microsoft, gdzie gromadzone są dane uwierzytelniające, kody urządzeń lub tokeny OAuth.
- Pobierane jest złośliwe oprogramowanie : Użytkownikowi wyświetlane są fałszywe okna dialogowe aktualizacji lub ClickFix , które pobierają złośliwe oprogramowanie. W takich przypadkach zazwyczaj jest to trojan zdalnego dostępu (RAT) oraz program kradnący informacje.
- Atak typu „machine-in-the-middle ” (MitM), w którym ruch jest dyskretnie przesyłany przez infrastrukturę atakującego, co naraża użytkownika na dalszą kradzież danych uwierzytelniających.
Według doniesień , jedną z głównych odmian złośliwego oprogramowania wykorzystywanego w tych atakach jest CornFlake, trojan umożliwiający zdalny dostęp (RAT), który potrafi przechwytywać obrazy z kamery internetowej, dźwięk z mikrofonu i naciśnięcia klawiszy.
Złodziejem informacji okazał się ChocoShell, bezplikowy program kradnący informacje oparty na PowerShell, którego głównym celem jest wykradanie plików cookie sesji przeglądarki, zapisanych haseł, tokenów logowania jednokrotnego (SSO) usługi Microsoft 365 i danych uwierzytelniających Wi-Fi z zainfekowanych systemów.
Firma Microsoft podaje listę fałszywych okien dialogowych, które mogą pojawić się po połączeniu się z zainfekowaną siecią Wi-Fi:
- winupdate: Fałszywa Windows Okno aktualizacji z komunikatem „Pracujemy nad aktualizacjami… Nie wyłączaj komputera”.
- obrońca: Fałszywy Windows Skanowanie antywirusowe.
- directx: „Instalator internetowy środowiska wykonawczego DirectX dla użytkownika końcowego”.
- vcredist: instalator redystrybucyjny Microsoft Visual C++.
- sysopt: Narzędzie do optymalizacji dysku.
- netfix: A Windows Narzędzie do naprawy diagnostyki sieci.
- przeglądarka: Monit o aktualizację przeglądarki.
- pdfview: Instalator przeglądarki dokumentów/PDF.
Jak zachować bezpieczeństwo
Malwarebytes Od dawna ostrzega o bezpieczeństwie publicznych sieci Wi-Fi. Oto, jak zadbać o bezpieczeństwo w podróży:
- Korzystaj z hotspotu w swoim telefonie zamiast z publicznej sieci Wi-Fi. Połączenie mobilne, zwłaszcza z kartą eSIM i renomowanym operatorem, znacznie zmniejsza ryzyko ataku w porównaniu z nieznaną siecią hotelową.
- Jeśli musisz korzystać z publicznej sieci Wi-Fi, użyj VPN z aktywnym wyłącznikiem awaryjnym: najpierw zakończ uwierzytelnianie na portalu hotelowym, a następnie uruchom sieć. VPN przed otwarciem jakiejkolwiek witryny lub aplikacji. Funkcja Kill Switch natychmiast zablokuje cały ruch internetowy, jeśli VPN rozłącza się nawet na sekundę, uniemożliwiając cyberprzestępcom wstrzyknięcie złośliwego kodu w sposób jawny. Podczas gdy CaptiveCrunch działa w trybie omijania portali captive i VPN przepływy, a VPN nadal ogranicza inne zagrożenia i ogranicza pasywne gromadzenie danych, gdy jesteś online.
- Zawsze sprawdzaj certyfikat każdego publicznego logowania do Wi-Fi lub portalu „zabezpieczającego”, który wymaga podania czegoś więcej niż numeru pokoju lub podstawowych danych logowania. Nie zawsze są to oczywiste wskazówki, ale czasami mogą być oczywistą wskazówką: niezgodne nazwy hostów, niezaufani wystawcy lub zwykły protokół HTTP to sygnały ostrzegawcze, które powinny powstrzymać Cię przed kontynuowaniem.
- Wiele portali captive prosi o podanie adresu e-mail do rejestracji lub marketingu. Nawet w niegroźnych przypadkach, podawanie prawdziwej skrzynki odbiorczej nie ma większego sensu. Jeśli musisz podać adres, rozważ podanie fałszywego adresu lub tymczasowego aliasu, niezwiązanego z Twoimi głównymi kontami.
- Jeśli pojawi się prośba o pobranie oprogramowania, certyfikatu, aktualizacji przeglądarki lub narzędzia naprawczego w celu nawiązania połączenia, przerwij. Nigdy nie powinieneś być zmuszony do pobierania czegokolwiek tylko po to, by zalogować się do sieci Wi-Fi.
- Nie spiesz się z wykonywaniem instrukcji na stronie internetowej lub w monicie, zwłaszcza jeśli wymagają one uruchomienia poleceń na urządzeniu lub skopiowania i wklejenia kodu. Zachowaj ostrożność w przypadku stron nakłaniających do natychmiastowego działania: zaawansowane strony ClickFix dodają odliczanie, liczniki użytkowników lub inne techniki wywierania presji, aby skłonić Cię do szybkiego działania.
- Zabezpiecz swoje urządzenia. Korzystaj z aktualnego rozwiązania antywirusowego w czasie rzeczywistym z komponentem ochrony sieci.
- Unikaj bezpośredniego wpisywania danych logowania do Microsoft 365, Google Workspace ani innych ważnych danych uwierzytelniających na stronach, do których prowadzi przekierowanie z portalu autoryzacyjnego. Jeśli musisz sprawdzić firmową pocztę, korzystaj ze znanych adresów URL, zamiast klikać w monity.
I na koniec, ale nie mniej ważne, zaktualizuj przeglądarkę, system operacyjny i inne ważne oprogramowanie przed podróżą. Zmniejszy to ryzyko otrzymania uzasadnionych próśb o aktualizację podczas Twojej nieobecności.
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.
