Hotelowe Wi-Fi na celowniku rosyjskich hakerów

Sandworm, Turla, Berserk Bear i Gamaredon to tylko niektóre z grup klasyfikowanych jako powiązane z Rosją. Wraz z innymi rosyjskimi podmiotami odpowiadają za największy odsetek (32,5 proc.) przeanalizowanych przez ESET ataków , którym udało się przypisać konkretnego sprawcę. Najnowszy raport przedsiębiorstwa wskazuje też, że w ostatnim czasie grupy te koncentrowały swoje działania przede wszystkim na Ukrainie oraz podmiotach wspierających jej sektor obronny.

Dlatego też najnowszy raport Microsoft Threat Intelligence, opisujący działalność jednej z nich – Midnight Blizzard, jej część – Storm-2945 i kampanię CaptiveCrunch, może stanowić istotne źródło wiedzy o aktualnych metodach działania rosyjskich grup APT . Pokazuje on, w jaki sposób cyberprzestępcy wykorzystują m.in. sieci Wi-Fi, fałszywe strony logowania i złośliwe oprogramowanie do przejmowania danych oraz uzyskiwania dostępu do urządzeń swoich ofiar.

Jak Midnight Blizzard przejmuje konta?

Midnight Blizzard , znana również jako APT29, Cozy Bear i NOBELIUM, to grupa zajmująca się przede wszystkim cyberszpiegostwem – była odpowiedzialna za opisywaną na naszych łamach kampanię szpiegowską wymierzoną w niemieckie partie polityczne . Grupa nie oszczędzała też samego Microsofta, który padł jej ofiarą w 2024 r. Głównymi celami pozostają jednak instytucje państwowe, placówki dyplomatyczne, organizacje pozarządowe i firmy informatyczne, przede wszystkim w Europie i USA.

Władze Stanów Zjednoczonych i Wielkiej Brytanii wiążą grupę ze Służbą Wywiadu Zagranicznego Federacji Rosyjskiej (SWR), co idzie w parze z tym, że zdobywane przez nią informacje mają przede wszystkim wspierać interesy rosyjskiej polityki zagranicznej.

Storm-2945 to wydzielona część tej grupy , odpowiedzialna za konkretne operacje; Microsoft połączył ją z Midnight Blizzard na podstawie podobieństw w sposobie prowadzenia ataków, stosowanych narzędziach i wyborze ofiar.

Jedną z przypisywanych jej operacji jest CaptiveCrunch – czyli główny punkt komunikatu Microsoft. Jest to kampania phishingowa wymierzona w osoby podróżujące służbowo , korzystające z sieci Wi-Fi m.in. w hotelach i centrach konferencyjnych.

Podczas ataku, napastnicy przejmują kontrolę nad ruchem w takich sieciach , przekierowując użytkowników na podstawione strony do uwierzytelnienia się (ang. captive portal) albo komunikaty udające aktualizację przeglądarki czy systemu (techniką ClickFix) . Docelowo próbują w ten sposób wykradać dane dostępowe i aktywne sesje , nakłaniając ofiarę do instalacji programu pozwalającego m.in.

zbierać pliki,

zapisywać naciskane klawisze,

podglądać obraz i dźwięk

zdalnie sterować komputerem.

Microsoft również poinformował, że Storm-2945 wykorzystywał narzędzia sztucznej inteligencji do wspomagania znacznej części tych działań.

Włosi wydzielą „wojskową domenę cyber”. Poważne zmiany w armii i wielomilionowe inwestycje

Złośliwe oprogramowanie w służbie cyberszpiegostwa

Do osiągnięcia swoich celów Storm-2945 wykorzystuje cały wachlarz narzędzi. Ich podstawą jest jednak CornFlake (pol. płatek kukurydziany) – program typu RAT (zdalny trojan) zapewniający napastnikom długotrwały zdalny dostęp do komputerów z Windowsem. Pozwala on m.in.:

rejestrować wpisywany tekst,

wykonywać zrzuty ekranu,

przechwytywać obraz i dźwięk,

kopiować pliki,

przeszukiwać nośniki USB,

zdalnie wydawać polecenia na zainfekowanym komputerze.

Po przekierowaniu na fałszywą stronę użytkownik jest nakłaniany do pobrania i uruchomienia rzekomej aktualizacji , albo – o ironio – przeprowadzenia skanu antywirusowego. W rzeczywistości uruchamiany jest wtedy CornFlake, który wyświetla pozornie prawidłowy komunikat, jednocześnie instalując się w systemie.

Microsoft nadal nie ustalił, w jaki sposób napastnicy po raz pierwszy uzyskali dostęp do sieci obsługujących strony logowania do Wi-Fi.

Drugim elementem arsenału Storm-2945 jest ChocoShell, którego zadaniem jest przede wszystkim kradzież zapisanych haseł , danych logowania do sieci Wi-Fi i informacji pozwalających przejąć aktywne sesje w przeglądarkach i usługach Microsoft 365. Ponadto, program ma działać w pamięci komputera , dzięki czemu pozostawia mniej śladów na dysku i może być trudniejszy do wykrycia.

Całością operacji zarządza FruitStone – internetowy panel umożliwiający operatorom kontrolowanie przejętych urządzeń, przeglądanie wykradzionych danych, pobieranie plików, uruchamianie poleceń i przygotowywanie kolejnych wersji CornFlake.

Jak podaje Microsoft, w skład zestawu grupy wchodzi też moduł oparty na ChromeKatz, służący do pozyskiwania haseł i danych aktywnych sesji z popularnych przeglądarek internetowych.

Własny hotspot zamiast hotelowego Wi-Fi

Microsoft zaleca, by podczas podróży traktować hotelowe, lotniskowe i konferencyjne sieci Wi-Fi jako potencjalnie niebezpieczne . Zamiast nich lepiej korzystać z własnego hotspotu, transmisji komórkowej lub innego prywatnego połączenia.

Firma przestrzega też przed pobieraniem aktualizacji, certyfikatów i narzędzi naprawczych z przypadkowych stron lub wyskakujących komunikatów - każdą aktualizację należy uruchamiać wyłącznie z poziomu systemu operacyjnego albo oficjalnego programu producenta.

Odpowiedzialność spoczywa również na organizacjach, które powinny monitorować podejrzane próby logowania . Prawdopodobnie pomogłoby to w łatwiejszym ustaleniu sposobu, w jaki atakujący przejęli sieci Wi-Fi.

Cyberbezpieczeństwo w takich miejscach zaczyna się od podstawowych działań: ograniczenia możliwości łączenia służbowych urządzeń z niezatwierdzonymi sieciami oraz unikania podawania danych logowania na stronach rejestracyjnych hoteli, konferencji i publicznych punktów dostępu.

Polska walczy o historyczną inwestycję w AI. Mocni konkurenci w przetargu UE

Czytaj cały artykuł u źródła — CyberDefence24