Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Publiczne i współdzielone sieci Wi‑Fi od lat pozostają jednym z najłatwiejszych do nadużycia elementów środowiska pracy mobilnej. Szczególnie dotyczy to hoteli, centrów konferencyjnych i innych obiektów branży hospitality, gdzie użytkownicy regularnie łączą się z obcą infrastrukturą sieciową, często bez możliwości realnej weryfikacji jej bezpieczeństwa.
Najnowsza kampania opisana przez badaczy pokazuje, że zagrożenie wykracza dziś daleko poza klasyczny phishing. Atakujący łączą manipulację ruchem sieciowym, fałszywe portale logowania oraz niestandardowe złośliwe oprogramowanie, aby przejmować konta Microsoft 365, kraść tokeny sesyjne i utrzymywać trwały dostęp do urządzeń ofiar.
W skrócie
Kampania przypisywana rosyjskiemu podmiotowi powiązanemu z Midnight Blizzard koncentruje się na użytkownikach korzystających z hotelowych sieci Wi‑Fi. Napastnicy mają przechwytywać i przekierowywać ruch w infrastrukturze captive portal, podsuwając ofiarom fałszywe strony logowania Microsoft 365 lub ekrany wyłudzające kody urządzeń.
- Celem są konta Microsoft 365 oraz artefakty uwierzytelnienia.
- W ataku wykorzystywane są fałszywe strony logowania i aktualizacji.
- Zidentyfikowano dwa komponenty malware: CornFlake i ChocoShell.
- Kampania łączy kradzież poświadczeń z trwałą infekcją endpointu.
Kontekst / historia
Opisywana operacja wpisuje się w szerszy trend ataków ukierunkowanych na tożsamość, dostęp do usług chmurowych oraz przejęcie sesji użytkownika. Według dostępnych ustaleń aktywność była obserwowana co najmniej od maja 2026 roku, a część technik związanych z phishingiem kodów urządzeń i nadużywaniem mechanizmów uwierzytelniania była widoczna już wcześniej.
Na szczególną uwagę zasługuje wybór środowiska ataku. Hotele i obiekty konferencyjne zapewniają napastnikom dogodny punkt wejścia, ponieważ użytkownicy z założenia logują się tam do obcej i częściowo niekontrolowanej infrastruktury. Dla pracowników mobilnych, kadry zarządzającej, konsultantów i uczestników wydarzeń branżowych oznacza to wzrost ryzyka przejęcia wysokowartościowych kont biznesowych poza siecią firmową.
Analiza techniczna
Rdzeniem kampanii jest kompromitacja lub nadużycie infrastruktury odpowiedzialnej za captive portal. Po zmianie ustawień DNS oraz manipulacji ruchem HTTP użytkownik może zostać przekierowany do spreparowanej strony imitującej logowanie do Microsoft 365. W takim scenariuszu ofiara samodzielnie wpisuje poświadczenia, które trafiają bezpośrednio do atakujących.
Drugim istotnym elementem jest device code phishing. Technika ta polega na wykorzystaniu legalnego mechanizmu uwierzytelniania opartego na kodzie urządzenia. Z perspektywy użytkownika taki proces może wyglądać wiarygodnie, dlatego bywa skuteczny nawet wobec osób świadomych zagrożeń. Jeśli ofiara zatwierdzi żądanie, napastnik może uzyskać autoryzowany dostęp do zasobów powiązanych z Entra ID i Microsoft 365.
Trzeci wariant obejmuje fałszywe strony aktualizacji przeglądarki lub systemu operacyjnego. Użytkownik otrzymuje komunikat sugerujący konieczność wykonania aktualizacji albo czynności weryfikacyjnej, co prowadzi do uruchomienia złośliwego ładunku na urządzeniu.
W kampanii zidentyfikowano malware CornFlake, opisywany jako napisany w Go trojan zdalnego dostępu. Zapewnia on zdalną powłokę, keylogging, monitorowanie schowka, wykonywanie zrzutów ekranu, dostęp do mikrofonu i kamery, kradzież danych z przeglądarek, przechwytywanie tokenów sesyjnych Microsoft 365, rekonesans hosta oraz eksfiltrację plików.
CornFlake korzysta również z wielu mechanizmów trwałości. Po uruchomieniu kopiuje się do katalogów użytkownika, wykorzystuje usługi systemowe, klucze autostartu rejestru, zadania harmonogramu i dodatkowe mechanizmy odtwarzające persistencję po częściowym usunięciu infekcji. Złośliwy proces może jednocześnie maskować się jako legalny komponent systemu, co utrudnia wykrycie w słabiej monitorowanych środowiskach.
Drugim komponentem jest ChocoShell, działający w pamięci moduł PowerShell nastawiony na kradzież poświadczeń. Jego celem są zapisane hasła, cookies przeglądarek, tokeny Microsoft 365 i Azure AD oraz dane dostępowe do sieci Wi‑Fi. Taki zestaw funkcji wskazuje, że operatorzy kampanii dążą nie tylko do jednorazowego przejęcia konta, ale do budowy szerszego dostępu obejmującego tożsamość, aktywne sesje i możliwość dalszego poruszania się po środowisku ofiary.
Badacze opisali także panel administracyjny używany do obsługi zainfekowanych systemów. Zaplecze tego typu umożliwia przeglądanie plików, wykonywanie komend PowerShell, przechwytywanie klawiszy i zrzutów ekranu oraz centralne zarządzanie infekcjami. To sugeruje dojrzały model operacyjny zbliżony do kampanii cyberwywiadowczych.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem ataku jest przejęcie kont Microsoft 365, które często stanowią główny punkt dostępu do poczty, dokumentów, Teams, SharePoint, OneDrive i usług zintegrowanych z Entra ID. Dodatkowym problemem jest kradzież tokenów sesyjnych, która może ograniczać skuteczność części zabezpieczeń opartych wyłącznie na haśle lub tradycyjnym MFA.
Ryzyko nie kończy się jednak na samej tożsamości. Dzięki mechanizmom trwałości oraz funkcjom nadzoru malware może pozostawać na stacji roboczej przez dłuższy czas, wykradając kolejne dane, obserwując aktywność użytkownika i przygotowując następne etapy ataku. W praktyce oznacza to możliwość dalszej kompromitacji środowisk chmurowych i lokalnych.
Szczególnie zagrożone są organizacje, których pracownicy często podróżują i logują się do usług korporacyjnych poza siecią firmową. Dotyczy to między innymi konsultingu, finansów, mediów, dyplomacji i sektora technologicznego, gdzie mobilność personelu łączy się z wysoką wartością przetwarzanych informacji.
Rekomendacje
Organizacje powinny traktować hotelowe i konferencyjne sieci Wi‑Fi jako środowiska niezaufane. Tam, gdzie to możliwe, należy preferować łączność komórkową, firmowe hotspoty lub zarządzane tunele VPN uruchamiane automatycznie jeszcze przed dostępem do zasobów biznesowych.
- Wdrażać metody uwierzytelniania odporne na phishing, w tym passkeys i silne MFA.
- Ograniczyć lub wyłączyć device code authentication tam, gdzie nie jest niezbędne operacyjnie.
- Blokować uruchamianie nieautoryzowanych skryptów PowerShell i monitorować procesy potomne przeglądarek.
- Wykrywać nietypowe mechanizmy trwałości, kradzież cookies i tokenów oraz zachowania typowe dla RAT-ów i keyloggerów.
- Zwiększyć monitoring anomalii logowania do Microsoft 365, żądań tokenów i wykorzystania OAuth.
- Przeprowadzić przegląd polityk Conditional Access oraz retencji logów.
Równie istotna jest higiena bezpieczeństwa po stronie użytkowników. Pracownicy nie powinni instalować aktualizacji systemu, przeglądarki ani dodatkowych narzędzi podsuwanych przez portal hotelowego Wi‑Fi. Nie należy również używać korporacyjnych poświadczeń do rejestracji dostępu do sieci gościnnych. Każdy nietypowy monit logowania, ekran aktualizacji lub prośba o podanie kodu urządzenia powinny być traktowane jako potencjalny incydent.
Podsumowanie
Opisana kampania pokazuje, że publiczne Wi‑Fi może stanowić element zaawansowanego łańcucha ataku prowadzącego zarówno do phishingu, jak i do pełnej infekcji stacji roboczej oraz przejęcia tożsamości w chmurze. Połączenie manipulacji DNS, fałszywych portali logowania, device code phishingu i wyspecjalizowanego malware tworzy skuteczny model działania przeciw użytkownikom Microsoft 365.
Dla organizacji to wyraźny sygnał, że ochrona tożsamości, urządzeń końcowych i świadomości użytkowników musi obejmować również scenariusze pracy w podróży. W realiach nowoczesnych kampanii cyberwywiadowczych nawet pozornie zwykłe połączenie z hotelowym Wi‑Fi może stać się początkiem poważnego incydentu bezpieczeństwa.
Źródła
- https://www.bleepingcomputer.com/news/security/hotel-wi-fi-attacks-use-custom-malware-to-breach-microsoft-365-accounts/
- https://www.microsoft.com/en-us/security/blog/