Hotelowe Wi-Fi na celowniku rosyjskich hakerów

Sandworm, Turla, Berserk Bear i Gamaredon to tylko niektóre z grup klasyfikowanych jako powiązane z Rosją. Wraz z innymi rosyjskimi podmiotami odpowiadają za największy odsetek (32,5 proc.) przeanalizowanych przez ESET ataków, którym udało się przypisać konkretnego sprawcę. Najnowszy raport przedsiębiorstwa wskazuje też, że w ostatnim czasie grupy te koncentrowały swoje działania przede wszystkim na Ukrainie oraz podmiotach wspierających jej sektor obronny.

Dlatego też najnowszy raport Microsoft Threat Intelligence, opisujący działalność jednej z nich – Midnight Blizzard, jej część – Storm-2945 i kampanię CaptiveCrunch, może stanowić istotne źródło wiedzy o aktualnych metodach działania rosyjskich grup APT. Pokazuje on, w jaki sposób cyberprzestępcy wykorzystują m.in. sieci Wi-Fi, fałszywe strony logowania i złośliwe oprogramowanie do przejmowania danych oraz uzyskiwania dostępu do urządzeń swoich ofiar.

Jak Midnight Blizzard przejmuje konta?

Midnight Blizzard, znana również jako APT29, Cozy Bear i NOBELIUM, to grupa zajmująca się przede wszystkim cyberszpiegostwem – była odpowiedzialna za opisywaną na naszych łamach kampanię szpiegowską wymierzoną w niemieckie partie polityczne. Grupa nie oszczędzała też samego Microsofta, który padł jej ofiarą w 2024 r. Głównymi celami pozostają jednak instytucje państwowe, placówki dyplomatyczne, organizacje pozarządowe i firmy informatyczne, przede wszystkim w Europie i USA.

Władze Stanów Zjednoczonych i Wielkiej Brytanii wiążą grupę ze Służbą Wywiadu Zagranicznego Federacji Rosyjskiej (SWR), co idzie w parze z tym, że zdobywane przez nią informacje mają przede wszystkim wspierać interesy rosyjskiej polityki zagranicznej.

Storm-2945 to wydzielona część tej grupy, odpowiedzialna za konkretne operacje; Microsoft połączył ją z Midnight Blizzard na podstawie podobieństw w sposobie prowadzenia ataków, stosowanych narzędziach i wyborze ofiar.

Jedną z przypisywanych jej operacji jest CaptiveCrunch – czyli główny punkt komunikatu Microsoft. Jest to kampania phishingowa wymierzona w osoby podróżujące służbowo, korzystające z sieci Wi-Fi m.in. w hotelach i centrach konferencyjnych.

Podczas ataku, napastnicy przejmują kontrolę nad ruchem w takich sieciach, przekierowując użytkowników na podstawione strony do uwierzytelnienia się (ang. captive portal) albo komunikaty udające aktualizację przeglądarki czy systemu (techniką ClickFix). Docelowo próbują w ten sposób wykradać dane dostępowe i aktywne sesje, nakłaniając ofiarę do instalacji programu pozwalającego m.in. 

• zbierać pliki, 
• zapisywać naciskane klawisze, 
• podglądać obraz i dźwięk 
• zdalnie sterować komputerem. 

Microsoft również poinformował, że Storm-2945 wykorzystywał narzędzia sztucznej inteligencji do wspomagania znacznej części tych działań.

Złośliwe oprogramowanie w służbie cyberszpiegostwa

Do osiągnięcia swoich celów Storm-2945 wykorzystuje cały wachlarz narzędzi. Ich podstawą jest jednak CornFlake (pol. płatek kukurydziany) – program typu RAT (zdalny trojan) zapewniający napastnikom długotrwały zdalny dostęp do komputerów z Windowsem. Pozwala on m.in.:

• rejestrować wpisywany tekst, 
• wykonywać zrzuty ekranu,
• przechwytywać obraz i dźwięk, 
• kopiować pliki,
• przeszukiwać nośniki USB,
• zdalnie wydawać polecenia na zainfekowanym komputerze. 

Po przekierowaniu na fałszywą stronę użytkownik jest nakłaniany do pobrania i uruchomienia rzekomej aktualizacji, albo – o ironio – przeprowadzenia skanu antywirusowego. W rzeczywistości uruchamiany jest wtedy CornFlake, który wyświetla pozornie prawidłowy komunikat, jednocześnie instalując się w systemie.

Microsoft nadal nie ustalił, w jaki sposób napastnicy po raz pierwszy uzyskali dostęp do sieci obsługujących strony logowania do Wi-Fi.

Drugim elementem arsenału Storm-2945 jest ChocoShell, którego zadaniem jest przede wszystkim kradzież zapisanych haseł, danych logowania do sieci Wi-Fi i informacji pozwalających przejąć aktywne sesje w przeglądarkach i usługach Microsoft 365. Ponadto, program ma działać w pamięci komputera, dzięki czemu pozostawia mniej śladów na dysku i może być trudniejszy do wykrycia.

Całością operacji zarządza FruitStone – internetowy panel umożliwiający operatorom kontrolowanie przejętych urządzeń, przeglądanie wykradzionych danych, pobieranie plików, uruchamianie poleceń i przygotowywanie kolejnych wersji CornFlake.

Jak podaje Microsoft, w skład zestawu grupy wchodzi też moduł oparty na ChromeKatz, służący do pozyskiwania haseł i danych aktywnych sesji z popularnych przeglądarek internetowych.

Własny hotspot zamiast hotelowego Wi-Fi

Microsoft zaleca, by podczas podróży traktować hotelowe, lotniskowe i konferencyjne sieci Wi-Fi jako potencjalnie niebezpieczne. Zamiast nich lepiej korzystać z własnego hotspotu, transmisji komórkowej lub innego prywatnego połączenia.

Firma przestrzega też przed pobieraniem aktualizacji, certyfikatów i narzędzi naprawczych z przypadkowych stron lub wyskakujących komunikatów -  każdą aktualizację należy uruchamiać wyłącznie z poziomu systemu operacyjnego albo oficjalnego programu producenta.

Odpowiedzialność spoczywa również na organizacjach, które powinny monitorować podejrzane próby logowania. Prawdopodobnie pomogłoby to w łatwiejszym ustaleniu sposobu, w jaki atakujący przejęli sieci Wi-Fi.

Cyberbezpieczeństwo w takich miejscach zaczyna się od podstawowych działań: ograniczenia możliwości łączenia służbowych urządzeń z niezatwierdzonymi sieciami oraz unikania podawania danych logowania na stronach rejestracyjnych hoteli, konferencji i publicznych punktów dostępu.