Nowa kampania cyber szpiegowska, wymierzona w podróżnych w celach biznesowych oraz urzędników państwowych, została zidentyfikowana poprzez ataki na publiczne sieci Wi-Fi w hotelach i centrach konferencyjnych na całym świecie. Według raportu Microsoft Threat Intelligence, operacja nazwana „CaptiveCrunch” rozpoczęła się w maju i jest powiązana z grupą hakerską Storm-2945.
Powiązania z rosyjskimi służbami wywiadowczymi
Storm-2945 to operacyjny podklaster Midnight Blizzard – zagrożenia, które rządy USA i Wielkiej Brytanii łączą z rosyjską Służbą Wywiadu Zagranicznego (SWR). Microsoft wskazuje, że Midnight Blizzard wyróżnia się długoterminową działalnością szpiegowską i wytrwałością w dążeniu do swoich celów, skoncentrowanych na gromadzeniu informacji wspierających interesy rosyjskiej polityki zagranicznej.
Mechanizm ataku
Sprawcy wykorzystali podatności w systemach zarządzania stronami logowania do sieci Wi-Fi w hotelach, znanych jako „captive portals”. Poprzez manipulację systemem nazw domenowych (DNS) oraz ruchem protokołu HTTP, hakerzy przekierowują użytkowników do infrastruktury, którą sami kontrolują. Taktyka ta przypomina podobną operację przejęcia DNS, która została zgłoszona w kwietniu.
Złośliwe oprogramowanie i konsekwencje
Po przekierowaniu ofiary otrzymują fałszywe powiadomienia o aktualizacji przeglądarki lub systemu operacyjnego. Kliknięcie w nie powoduje instalację trojana Windows o nazwie „CornFlake”. Oprogramowanie to posiada szerokie możliwości szpiegowskie: rejestrowanie naciśnięć klawiszy, kradzież danych logowania i tokenów sesji, a także zdalne monitorowanie audio i wideo zainfekowanych urządzeń.
Może Cię również zainteresować
- Włoskie media donoszą o ataku grupy neonazistów na żydowską młodzież w hotelu w Sofii
- Kryzys w Ceucie: Hiszpania oskarża siły międzynarodowe o szerzenie dezinformacji
- Wieże AI do wczesnego wykrywania pożarów: Rozpoczyna się budowa systemu monitoringu w Rili
- Zełenski mianował Rustema Umierowa głównym negocjatorem w sprawie zakończenia wojny z Rosją
Dochodzenie Microsoftu trwa, a firma zauważa, że korzystanie ze współdzielonego sprzętu i systemów zarządzania w wielu dotkniętych obiektach sugeruje, że naruszenia prawdopodobnie wynikają ze wspólnego punktu dostępu.