ホテルやカンファレンス会場、ホスピタリティ業界を標的にした大規模なDNSポイズニングキャンペーンが確認され、訪問者から企業のログイン認証情報を盗み出す目的で仕掛けられていると研究者らが警告しています。
このキャンペーンはReliaQuestのサイバーセキュリティアナリストによって特定されたもので、ホテルやカンファレンスセンターをはじめ、企業従業員が頻繁に訪れる共有施設で公共Wi-Fiを提供するルーターを標的にすることから始まります。
侵害されたWi-Fiゲートウェイは、米国内の複数都市、インド、サウジアラビアなど世界各地で確認されています。
ReliaQuestの研究者らは7月23日に公開したブログ記事の中で、機器への初期アクセスは、SSHやSNMP、Web管理コンソールといった露出した管理インターフェースの悪用、および脆弱または使い回された管理者ログイン認証情報を通じて行われたとみられると述べています。
このアクセス権を得た攻撃者は、侵害したルーターの設定を変更し、DNSポイズニングを使ってWebトラフィックをリダイレクトし、正規ドメイン宛ての通信を攻撃者が管理するインフラ経由で流します。
つまり、フィッシングリンクや悪意のある添付ファイルを使わずとも、また攻撃者がデバイスに直接触れることもなく、ユーザーが侵害されてしまう可能性があるのです。
異常を示す兆候が一切ないため、ユーザーは普段通りデバイスを使い続けてしまいます。その間、攻撃者は活動を監視できるようになり、被害者のユーザー名やパスワード、その他の機密情報まで手に入れることになります。
企業の出張者を標的に
出張中の企業従業員が利用することで知られるホテルやカンファレンス会場を標的にすることで、攻撃者は幅広い認証情報を入手できる可能性があり、それらは機密情報へのアクセスに悪用されかねません。
「私たちが調査した侵害デバイスは、主にホテルや、その他キャプティブWi-Fiサービスを運用する組織で使われている機器でした」とReliaQuestの研究者は警告しています。
「しかし、空港、カンファレンスセンター、コワーキングスペース、大学、医療施設、イベント会場など、キャプティブポータル型ネットワークを運用する事業者であれば、構造的に同様の攻撃対象領域を抱えていることになります」と付け加えています。
研究者らは、現在も継続中とみられるこのDNSポイズニングキャンペーンで使われている手口について、ロシア軍参謀本部情報総局(GRU)と関係の深いサイバースパイ集団、通称Fancy BearまたはForest Blizzardとしても知られるAPT28に帰属するとされる過去のキャンペーンと類似していると指摘しています。
ReliaQuestは、DNSポイズニングがエンドポイントに到達するのを防ぎ、攻撃対象領域を排除するとともに、万が一発生した場合には認証情報窃取活動を検知する方法について助言をまとめています。主な推奨事項は以下の通りです。
- フルトンネル構成の常時オンVPNを強制すること:企業のすべてのデバイスにフルトンネル構成のVPN利用を義務付け、すべてのDNSリクエストが信頼できる企業リゾルバー経由でルーティングされるようにする
- 未知のホストからの認証についてプロキシ認証ログを監査すること:悪用が確認されているインフラからの不審なログがないか確認する
- 不要な場合はWebプロキシ自動検出(WPAD)を無効化すること
- 認証情報を入力する前にサイトを検証すること:認証情報の入力を求めるページに遭遇した際は、特にホテルやカンファレンスセンター、空港などの公共Wi-Fiネットワークに接続している場合、URLと証明書を確認するよう従業員を教育する
- IDプロバイダーでデバイスコード認証フローを無効化すること:Microsoft Entra IDでは、デバイスコードフローをブロックする条件付きアクセスポリシーを設定する
翻訳元: https://www.infosecurity-magazine.com/news/hotel-wifi-dns-poisoning/
