Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Publiczne sieci Wi‑Fi od lat są traktowane jako środowisko podwyższonego ryzyka, jednak najnowsze obserwacje pokazują istotną zmianę w sposobie działania napastników. Zamiast tworzyć fałszywe hotspoty, atakujący przejmują elementy infrastruktury captive portal i manipulują ruchem sieciowym jeszcze na etapie logowania do internetu. Taki model pozwala przechwytywać poświadczenia, tokeny sesyjne oraz kierować ofiary do złośliwych komponentów podszywających się pod legalne aktualizacje.
Kampania została powiązana z grupą Storm-2945, uznawaną za podgrupę Midnight Blizzard, kojarzoną z rosyjskimi operacjami szpiegowskimi. To sygnał, że infrastruktura gościnnych sieci bezprzewodowych stała się atrakcyjnym wektorem dla zaawansowanych zagrożeń ukierunkowanych na pracowników, gości hoteli i uczestników wydarzeń biznesowych.
W skrócie
- Napastnicy kompromitowali bramy publicznych i współdzielonych sieci Wi‑Fi z mechanizmem captive portal.
- Celem były głównie poświadczenia Microsoft 365, tokeny sesyjne i instalacja malware.
- W atakach wykorzystywano manipulację DNS i HTTP oraz techniki adversary-in-the-middle.
- W części przypadków stosowano phishing z użyciem device code authentication.
- Złośliwe pliki podszywały się pod aktualizacje przeglądarki lub elementy niezbędne do uzyskania dostępu do internetu.
Kontekst / historia
Początkowe sygnały wskazywały na ingerencję w konfigurację DNS przejętych urządzeń sieciowych, w tym sprzętu klasy SOHO oraz komponentów używanych w środowiskach gościnnych. Pozwalało to przekierowywać ruch użytkowników do kontrolowanej infrastruktury i prowadzić operacje przechwytywania danych bez konieczności natychmiastowego łamania zabezpieczeń samego urządzenia końcowego.
Z czasem analiza kampanii doprowadziła do jej powiązania z operacją określaną jako CaptiveCrunch. To ważne rozszerzenie znanego profilu grupy, która wcześniej była kojarzona przede wszystkim z przejmowaniem legalnych kont, omijaniem mechanizmów uwierzytelniania i utrzymywaniem długotrwałego dostępu do cennych środowisk. W nowym wariancie przeciwnik wykorzystuje zaufanie użytkownika do hotelowej lub konferencyjnej sieci, aby przeprowadzić atak jeszcze przed wejściem do właściwych zasobów firmowych.
Analiza techniczna
Mechanizm ataku opiera się na kompromitacji warstwy pośredniczącej pomiędzy użytkownikiem a internetem. W praktyce oznacza to przejęcie kontroli nad elementami captive portal, panelami administracyjnymi, usługami współdzielonymi lub konfiguracją DNS i przekierowań HTTP. Dzięki temu ofiara widzi wiarygodnie wyglądający proces logowania do sieci, który w rzeczywistości może prowadzić do infrastruktury napastnika.
Kluczową rolę odgrywa technika adversary-in-the-middle. Pozwala ona przechwytywać nazwy użytkowników, hasła, ciasteczka sesyjne i inne artefakty uwierzytelnienia. Szczególnie groźne są scenariusze, w których atakujący imitują logowanie do Microsoft 365 lub nakłaniają użytkownika do użycia kodu urządzenia w prawdziwym procesie logowania. Nadużycie device code authentication zwiększa skuteczność ataku, ponieważ użytkownik może uznać całą procedurę za standardowy element uzyskiwania dostępu do internetu.
Drugim elementem kampanii było dostarczanie malware. Złośliwe komponenty, opisane jako narzędzia tworzone m.in. w języku Go, były prezentowane jako aktualizacje przeglądarki lub niezbędne moduły połączeniowe. Po uruchomieniu mogły realizować rekonesans systemu, kradzież poświadczeń i tokenów, zbieranie plików, rejestrację aktywności użytkownika, zdalne wykonywanie poleceń, a nawet funkcje nadzoru audio i wideo. W opisie kampanii pojawiają się również nazwy narzędzi takich jak CornFlake RAT, ChocoShell oraz panel C2 określany jako FruitStone.
Na poziomie socjotechnicznym istotne były techniki ClickFix. Użytkownik otrzymywał sugestię pobrania rzekomej poprawki lub uruchomienia określonego pliku, aby rozwiązać problem z dostępem do sieci. Tego typu podejście przesuwa środek ciężkości z eksploatacji podatności na manipulację zachowaniem ofiary, co utrudnia wykrycie incydentu wyłącznie przez klasyczne mechanizmy antywirusowe.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takiej kampanii jest przejęcie tożsamości użytkownika poza kontrolowanym środowiskiem organizacji. Utrata hasła lub tokenu sesji może otworzyć drogę do poczty, dokumentów, komunikatorów, repozytoriów kodu i innych usług chmurowych. W wielu przypadkach przejęty token bywa wystarczający do obejścia części zabezpieczeń, zwłaszcza jeśli atak zostanie odpowiednio skorelowany z aktywną sesją użytkownika.
Dodatkowym ryzykiem jest trwała kompromitacja stacji roboczej. Jeżeli malware zostanie uruchomione na urządzeniu służbowym, przeciwnik może prowadzić dalszy rekonesans, pozyskiwać kolejne dane uwierzytelniające, eskalować uprawnienia i poruszać się lateralnie po ponownym podłączeniu sprzętu do sieci firmowej. Szczególnie niebezpieczne jest to w przypadku pracowników uprzywilejowanych, kadry kierowniczej oraz osób regularnie podróżujących służbowo.
Kampania ma też wymiar systemowy. Hotele, centra konferencyjne i operatorzy usług captive portal stają się atrakcyjnym celem, ponieważ pojedyncza kompromitacja infrastruktury może umożliwić atak na wielu użytkowników jednocześnie. To zwiększa skalę zagrożenia i podnosi znaczenie bezpieczeństwa środowisk gościnnych, które wcześniej bywały traktowane jako mniej krytyczne.
Rekomendacje
Organizacje powinny zakładać, że każda publiczna sieć Wi‑Fi jest niezaufana, nawet jeśli korzysta z niej renomowany obiekt. Podstawą powinno być stosowanie centralnie zarządzanego VPN, polityk dostępu warunkowego oraz ograniczeń logowania do krytycznych usług z sieci o niskim poziomie zaufania.
- Monitorować nietypowe logowania, zwłaszcza związane z device code authentication.
- Wykrywać i szybko unieważniać podejrzane tokeny sesyjne.
- Blokować nieautoryzowane instalatory, skrypty i nietypowe użycie PowerShell.
- Konfigurować EDR pod kątem wykrywania procesów uruchamianych po połączeniu z siecią gościnną.
- Analizować pobrania plików inicjowane z portali captive oraz zachowania wskazujące na ClickFix.
Po stronie operatorów infrastruktury konieczny jest przegląd bezpieczeństwa urządzeń brzegowych, paneli administracyjnych, DNS, mechanizmów aktualizacji i integralności konfiguracji. Warto wdrożyć silne uwierzytelnianie administracyjne, segmentację dostępu do zarządzania, regularny patching oraz monitoring zmian w rekordach DNS, certyfikatach i przekierowaniach HTTP.
Użytkownicy końcowi powinni pamiętać o prostej zasadzie: portal Wi‑Fi nie powinien wymagać instalowania aktualizacji przeglądarki ani dodatkowych aplikacji. Każda taka prośba powinna być traktowana jako sygnał ostrzegawczy i zgłaszana do zespołu bezpieczeństwa.
Podsumowanie
Operacja CaptiveCrunch pokazuje, że publiczne sieci Wi‑Fi stały się pełnoprawnym polem działań zaawansowanych grup APT. Połączenie kompromitacji captive portal, manipulacji ruchem DNS i HTTP, nadużycia legalnych mechanizmów uwierzytelniania oraz dostarczania wielofunkcyjnego malware tworzy skuteczny łańcuch ataku wymierzony w tożsamość i endpointy użytkowników. Dla organizacji oznacza to konieczność rozszerzenia modelu zagrożeń o scenariusze podróży służbowych i korzystania z sieci gościnnych poza tradycyjnym perymetrem bezpieczeństwa.