Корпорация Microsoft предупредила о масштабной вредоносной кампании, нацеленной на кражу данных пользователей через сети Wi-Fi в отелях и конференц-центрах. Операция, получившая название CaptiveCrunch, проводится группировкой Storm-2945, связанной с известным хакерским объединением Midnight Blizzard (APT29). По данным экспертов, активность злоумышленников фиксируется как минимум с мая 2026 года.
Методы взлома и целевые аудитории
Атаки ориентированы на устройства, использующие «captive portals» — страницы авторизации, которые появляются при подключении к гостевому Wi-Fi. Получив контроль над сетевым оборудованием, хакеры перехватывают DNS и HTTP-трафик, перенаправляя пользователей на фишинговые ресурсы. Под ударом оказались инфраструктурные узлы в США, Индии и Саудовской Аравии. Основными целями стали бизнес-путешественники, работающие в финансовой, медицинской, энергетической и юридической сферах, что подтверждает Microsoft связала атаки на Wi-Fi в отелях с группировкой Midnight Blizzard.
Инструменты для кражи данных
В арсенале хакеров находятся специализированные вредоносные инструменты:
- CornFlake: троян на языке Go, маскирующийся под системную службу «Cloud Sync Service». Программа способна записывать нажатия клавиш, делать скриншоты, красть файлы, а также управлять микрофоном и камерой устройства.
- ChocoShell: PowerShell-инструмент, действующий в оперативной памяти (fileless-технология). Он предназначен для хищения паролей из браузеров, сессионных cookie и токенов Microsoft 365.
Злоумышленники активно используют фишинговые страницы для компрометации Microsoft 365. Один из распространенных сценариев — обход многофакторной аутентификации (MFA) через механизм device-code, когда пользователь под давлением обстоятельств сам вводит код на вредоносном сайте, открывая хакерам доступ к своей учетной записи. Кроме того, жертвам могут предлагать установить «обновления» Windows или сторонние драйверы, которые на деле являются вредоносным ПО.
Рекомендации по безопасности
Специалисты Microsoft настаивают, что публичные сети в отелях и аэропортах необходимо считать скомпрометированными. Для защиты данных рекомендуется использовать мобильные хот-споты или надежные VPN-сервисы. Категорически запрещено устанавливать обновления, сертификаты или любые утилиты, которые предлагает страница авторизации Wi-Fi. Корпоративным пользователям советуют усилить защиту от фишинга и ограничить использование аутентификации по коду устройства (Entra device-code) в небезопасных средах.
