Microsoft ostrzega przed nową kampanią fałszywych ataków Wi-Fi

Microsoft wydał 31 lipca ostrzeżenie dotyczące grupy hakerskiej o nazwie Storm-2945, którą firma identyfikuje jako podgrupę Midnight Blizzard – powiązanego z Rosją podmiotu groźnego z długą historią operacji cybernetycznych prowadzonych na zlecenie państwa. Według Microsoftu, Storm-2945 prowadzi obecnie kampanię ataków wykorzystującą fałszywe strony logowania do Wi-Fi, której celem są podróżujący służbowo na całym świecie.

Choć ujawnione przez Microsoft informacje wciąż są rozwijane, kluczowy szczegół jest jasny: atakujący wykorzystują moment, w którym podróżni łączą się z publicznymi lub hotelowymi sieciami Wi-Fi, używając podstępnych portali logowania, aby przejąć kontrolę nad urządzeniami lub wykraść dane uwierzytelniające. Nie jest to pierwszy raz, gdy Microsoft przypisuje włamanie grupie powiązanej z Rosją; firma powiązała również atak ransomware na lodowisko Thialf z inną grupą groźną, co podkreśla, jak często zespół analityczny Microsoftu ds. zagrożeń publicznie identyfikuje i śledzi te podmioty.

Jak zazwyczaj przebiega fałszywy atak logowania do Wi-Fi

Fałszywe strony logowania do Wi-Fi, nazywane czasem atakami typu „evil twin” lub złośliwymi portalami typu captive portal, opierają się na prostym triku: naśladują legalny ekran logowania, który podróżny spodziewa się zobaczyć w poczekalni lotniska, hotelu lub miejscu konferencyjnym. Zamiast łączyć się z prawdziwą siecią, urządzenie ofiary dołącza do sieci kontrolowanej przez atakującego lub zostaje przekierowane przez sfałszowany portal, zaprojektowany tak, aby wyglądał identycznie jak autentyczny.

W ten sposób atakujący może przechwycić dane logowania wprowadzone na fałszywej stronie, przechwytywać niezaszyfrowany ruch sieciowy lub próbować wypchnąć złośliwe oprogramowanie na podłączone urządzenie. Ponieważ podróżujący służbowo często muszą szybko połączyć się z internetem, aby sprawdzić e-mail lub dołączyć do rozmowy, te fałszywe portale są zaprojektowane tak, aby nie rzucały się w oczy i nie wzbudzały podejrzeń. Ta taktyka nie wymaga zaawansowanego złośliwego oprogramowania ani luk w zabezpieczeniach; wykorzystuje zaufanie do znajomego, codziennego procesu.

Jest to jeden z powodów, dla których grupy groźne powiązane z operacjami sponsorowanymi przez państwo, takie jak ta stojąca za Midnight Blizzard, nadal inwestują w to podejście. Jest tanie, skalowalne i skuteczne wobec populacji – podróżujących służbowo – która często przemieszcza się między niezaufanymi sieciami i ma cenny dostęp do systemów korporacyjnych, komunikacji wewnętrznej lub wrażliwych projektów.

Dlaczego podróżujący służbowo są głównym celem

Podróżujący służbowo są atrakcyjnym celem z kilku powodów. Często łączą się z sieciami, których nie kontrolują i nie mogą zweryfikować, zazwyczaj żonglują wieloma urządzeniami i kontami, a presja czasu sprawia, że są mniej skłonni do dokładnego analizowania strony logowania. Dla grupy powiązanej z Rosją, skoncentrowanej na szpiegostwie lub zbieraniu informacji wywiadowczych, przejęcie urządzenia podróżującego menedżera, dyplomaty lub badacza może zapewnić przyczółek do szerszej sieci organizacji, nawet jeśli początkowe przejęte urządzenie nie jest ostatecznym celem.

Kampania ta odzwierciedla również szerszy trend: podmioty groźne coraz częściej preferują metody początkowego dostępu, które całkowicie omijają tradycyjne zabezpieczenia sieciowe. Zamiast wykorzystywać lukę w oprogramowaniu firmowym lub kliencie VPN, jak w przypadkach takich jak luka w zabezpieczeniach IKE wpływająca na usługi VPN systemu Windows, ataki takie jak ten celują w ludzką decyzję o kliknięciu „połącz” w nieznanej sieci. To sprawia, że świadomość i podstawowa higiena operacyjna są równie ważne, co techniczne łatki.

Co to oznacza dla Ciebie

Jeśli podróżujesz służbowo, choćby okazjonalnie, to ostrzeżenie jest przypomnieniem, że publiczne sieci Wi-Fi, zwłaszcza na lotniskach, w hotelach i centrach konferencyjnych, należy traktować jako z natury niezaufane. Nie musisz być wysoko postawionym menedżerem, aby zostać wciągniętym w taką kampanię; atakujący zarzucający szeroką sieć w danym miejscu mogą przejąć każdego, kto się połączy, a następnie sprawdzić, kto jest wartościowy.

Dobrą wiadomością jest to, że zabezpieczenia przed tego rodzaju atakiem są proste i nie wymagają specjalistycznych narzędzi bezpieczeństwa. Weryfikacja nazw sieci bezpośrednio u personelu obiektu, unikanie sieci, które żądają nietypowych danych osobowych podczas logowania, oraz korzystanie z renomowanej sieci VPN do szyfrowania ruchu w każdej sieci publicznej – to praktyczne kroki, które znacząco zmniejszają ryzyko. Organizacje, które regularnie wysyłają pracowników w podróże służbowe, powinny również rozważyć wzmocnienie podstawowych zasad bezpieczeństwa Wi-Fi w ramach rutynowych szkoleń z zakresu bezpieczeństwa, ponieważ ten rodzaj socjotechniki nie opiera się na przestarzałym oprogramowaniu ani niezałatanych systemach.

Praktyczne wnioski

Przed następną podróżą służbową potwierdź oficjalne nazwy sieci Wi-Fi u personelu hotelu lub organizatora wydarzenia, zamiast ufać temu, co pojawia się na liście Wi-Fi na Twoim urządzeniu. Unikaj wprowadzania wrażliwych danych logowania na stronie portalu captive, która wygląda choćby odrobinę nieznajomo, i rozważ domyślne korzystanie z VPN za każdym razem, gdy łączysz się z siecią, której nie kontrolujesz. Jeśli Twoja organizacja posiada politykę bezpieczeństwa w podróży, zapoznaj się z nią przed wyjazdem i niezwłocznie zgłaszaj wszelkie podejrzane sytuacje swojemu zespołowi IT lub bezpieczeństwa. Ostrzeżenie Microsoftu dotyczące Storm-2945 jest użytecznym przypomnieniem, że nawet rutynowy fałszywy atak Wi-Fi może być początkiem znacznie większego włamania, a kilka minut ostrożności na ekranie logowania może mu zapobiec.