Корпорация Microsoft раскрыла детали масштабной киберкампании CaptiveCrunch, нацеленной на пользователей публичных сетей Wi-Fi в отелях и деловых центрах. Исследователи компании установили, что за операцией стоит хакерская группировка Midnight Blizzard, также известная как APT29, и её специализированная подгруппа Storm-2945. Злоумышленники научились модифицировать настройки DNS сетевого оборудования, что позволяет им успешно перехватывать трафик и похищать учётные данные Microsoft 365.
Методы взлома и используемое вредоносное ПО
Несмотря на то, что вектор первоначального проникновения в сетевую инфраструктуру отелей остается предметом изучения, эксперты подтвердили, что хакеры используют скомпрометированные узлы для принудительного перенаправления трафика на поддельные ресурсы. В арсенале Storm-2945 числятся три ключевых сценария атак: создание зеркальных страниц авторизации Microsoft 365, фишинг с использованием кода устройства для обхода защиты Microsoft Entra ID, а также распространение вредоносного ПО под видом системных обновлений через технику ClickFix.
В процессе анализа инцидентов эксперты Microsoft выявили два семейства вредоносного софта. Первое, CornFlake, представляет собой троян на языке Go, обладающий широким функционалом: запись нажатий клавиш, создание скриншотов, эксфильтрация файлов, кража сессионных токенов и перехват содержимого буфера обмена. Второе, ChocoShell, является скрытным PowerShell-скриптом, исполняемым исключительно в оперативной памяти (fileless). Он нацелен на извлечение паролей, cookies браузеров и токенов Azure AD. Специалисты не исключают, что в разработке этих инструментов могли применяться современные нейросети, учитывая рост числа вредоносных AI-навыков, о котором уже предупреждали эксперты по безопасности.
Управление атаками и рекомендации
Для управления зараженными устройствами злоумышленники разработали веб-интерфейс FruitStone. Эта панель обеспечивает удаленное выполнение команд, мониторинг файловой системы жертв и отслеживание активности в режиме реального времени. Согласно данным телеметрии, атаки фиксируются как минимум с мая 2026 года, хотя отдельные фишинговые эпизоды наблюдались ещё в феврале того же года.
Чтобы обезопасить себя при работе в общественных сетях, эксперты рекомендуют придерживаться следующих правил:
- Отдавайте предпочтение мобильному интернету или проверенным корпоративным VPN-сервисам вместо открытого Wi-Fi.
- Игнорируйте любые предложения обновить программное обеспечение, возникающие во всплывающих окнах при подключении к гостевым порталам.
- Внедряйте аппаратные ключи доступа (passkeys) и используйте многофакторную аутентификацию (MFA), которая невосприимчива к стандартным фишинговым схемам.
- Отключите в настройках Microsoft Entra ID возможность аутентификации по коду устройства, если специфика рабочих процессов это допускает.
- Проявляйте предельную бдительность к любым уведомлениям системы безопасности, появляющимся сразу после подключения к публичному Wi-Fi.
