Microsoft varuje před falešnými Wi-Fi útoky skupiny Storm-2945 na cestovatele

Microsoft upozorňuje na novou kampaň s falešnými Wi-Fi útoky

Microsoft vydal 31. července varování před hackerskou skupinou s názvem Storm-2945, kterou společnost označuje jako podskupinu Midnight Blizzard, ruského aktéra hrozeb s dlouhou historií státem podporovaných kybernetických operací. Podle Microsoftu vede Storm-2945 v současnosti útočnou kampaň, která využívá falešné přihlašovací stránky Wi-Fi k cílení na firemní cestovatele po celém světě.

Ačkoli se informace od Microsoftu stále vyvíjejí, klíčový detail je jasný: útočníci využívají okamžik, kdy se cestovatelé připojují k veřejným nebo hotelovým Wi-Fi sítím, a používají podvodné přihlašovací portály ke kompromitaci zařízení nebo krádeži přihlašovacích údajů. Není to poprvé, co Microsoft připsal útok ruské skupině; společnost také vystopovala ransomwarový útok na ledový stadion Thialf k jiné skupině hrozeb, což podtrhuje, jak často tým Microsoftu pro analýzu hrozeb nyní tyto aktéry veřejně pojmenovává a sleduje.

Jak obvykle funguje útok prostřednictvím falešné Wi-Fi přihlašovací stránky

Falešné přihlašovací stránky Wi-Fi, někdy nazývané útoky "evil twin" nebo škodlivé captive portály, spoléhají na jednoduchý trik: napodobují legitimní přihlašovací obrazovku, kterou cestovatel očekává v letištním salonku, hotelu nebo konferenčním prostoru. Místo připojení ke skutečné síti se zařízení oběti připojí k síti ovládané útočníkem nebo je přesměrováno přes podvržený portál navržený tak, aby vypadal identicky jako ten pravý.

Odtud může útočník získat přihlašovací údaje zadané na falešné stránce, zachytávat nešifrovaný provoz nebo se pokusit doručit škodlivý software do připojeného zařízení. Protože firemní cestovatelé se často potřebují rychle připojit k internetu, aby zkontrolovali e-maily nebo se připojili k hovoru, jsou tyto falešné portály navrženy tak, aby splynuly s okolím a nevzbuzovaly podezření. Tato taktika nevyžaduje sofistikovaný malware ani softwarovou zranitelnost – zneužívá důvěru ve známý, každodenní proces.

To je také důvod, proč skupiny hrozeb napojené na státem sponzorované operace, jako je ta za Midnight Blizzard, do tohoto přístupu nadále investují. Je levný, škálovatelný a účinný proti populaci – firemním cestovatelům – která se často pohybuje mezi nedůvěryhodnými sítěmi a má cenný přístup k firemním systémům, interní komunikaci nebo citlivým projektům.

Proč jsou firemní cestovatelé hlavním cílem

Firemní cestovatelé jsou atraktivním cílem z několika důvodů. Často se připojují k sítím, které nekontrolují a nemohou ověřit, obvykle pracují na více zařízeních a účtech najednou a mohou být pod časovým tlakem, kvůli kterému je méně pravděpodobné, že budou přihlašovací stránku důkladně zkoumat. Pro ruskou skupinu zaměřenou na špionáž nebo získávání zpravodajských informací může kompromitace cestujícího manažera, diplomata nebo výzkumníka poskytnout oporu v širší síti organizace, i když původně kompromitované zařízení není konečným cílem.

Tato kampaň také odráží širší trend: aktéři hrozeb stále častěji upřednostňují metody počátečního přístupu, které zcela obcházejí tradiční síťovou obranu. Namísto zneužití chyby v podnikovém softwaru nebo VPN klientovi, jak bylo vidět v případech jako zranitelnost IKE ovlivňující služby Windows VPN, útoky jako tento cílí na lidské rozhodnutí kliknout na "připojit" v neznámé síti. To znamená, že povědomí a základní provozní hygiena jsou stejně důležité jako technické záplatování.

Co to znamená pro vás

Pokud cestujete za prací, byť jen příležitostně, je toto varování připomínkou, že k veřejným Wi-Fi sítím, zejména na letištích, v hotelech a konferenčních centrech, by se mělo přistupovat jako k inherentně nedůvěryhodným. Nemusíte být vysoce postavený manažer, abyste se do takové kampaně zapletli; útočníci, kteří na místě roztahují širokou síť, mohou kompromitovat kohokoli, kdo se připojí, a teprve poté vytřídit, kdo je hodnotný.

Dobrou zprávou je, že obrana proti tomuto druhu útoku je přímočará a nevyžaduje specializované bezpečnostní nástroje. Ověření názvu sítě přímo u personálu místa konání, vyhýbání se sítím, které při přihlášení požadují neobvyklé osobní údaje, a používání renomované VPN k šifrování provozu v jakékoli veřejné síti – to vše jsou praktické kroky, které smysluplně snižují riziko. Organizace, které pravidelně vysílají zaměstnance na služební cesty, by také měly zvážit posílení základních pokynů pro bezpečné používání Wi-Fi jako součást rutinního bezpečnostního školení, protože tento druh sociálního inženýrství nespoléhá na zastaralý software nebo nezáplatované systémy.

Praktická doporučení

Před další služební cestou si potvrďte oficiální názvy Wi-Fi sítí u personálu hotelu nebo akce, místo abyste důvěřovali tomu, co se objeví v seznamu Wi-Fi ve vašem zařízení. Vyhněte se zadávání citlivých přihlašovacích údajů na captive portálové stránce, která vypadá byť jen trochu neznámě, a zvažte standardní používání VPN, kdykoli se připojujete k síti, kterou nekontrolujete. Pokud má vaše organizace bezpečnostní zásady pro cestování, před odjezdem si je projděte a cokoli podezřelého neprodleně nahlaste svému IT nebo bezpečnostnímu týmu. Varování Microsoftu před Storm-2945 je užitečnou připomínkou, že i rutinní falešný Wi-Fi útok může být úvodním krokem mnohem většího narušení a pár minut opatrnosti na přihlašovací obrazovce mu může zabránit.