ロシア国家の支援を受けたハッカー集団が、世界各地のホテルのWi-Fiネットワークを侵害し、旅行者のログイン認証情報を盗み出すとともに、スパイ活動用マルウェアを端末に感染させていたことが研究者らの調査で明らかになりました。
Microsoftは金曜日に公開したレポートの中で、この活動はStorm-2945という組織によるものだとしています。Storm-2945は、ロシアの対外情報庁(SVR)との関連が欧米の情報機関によって指摘されているロシアのスパイ活動グループMidnight Blizzardの下部組織とされています。
このキャンペーンは5月上旬にMicrosoftが初めて確認したもので、いわゆるキャプティブポータル(インターネット接続前にユーザーがアクセスしなければならないWebページ)を通じてゲストにWi-Fiへのログインを求めるホテルやその他の宿泊施設を標的としています。
研究者らによると、攻撃者は侵害したネットワーク上のインターネットトラフィックを操作し、被害者を偽のMicrosoftログインページや、マルウェアを送り込むために作られた偽のブラウザ・OSアップデート画面へリダイレクトしているとのことです。
7月にこの活動を最初に公表したサイバーセキュリティ企業ReliaQuestによると、この作戦は米国内の複数都市に加え、インドやサウジアラビアのホテルおよびその他の宿泊関連組織に影響を及ぼしています。同社によれば、コンファレンスセンターなど他の共用施設も被害を受けており、法人出張者が主な標的となっているようです。
Microsoftによると、ハッカーは被害者の端末を侵害するために主に2つの手法を用いています。
1つ目は、被害者を偽のMicrosoft認証ページへリダイレクトする手法で、これにより攻撃者はログイン認証情報を傍受し、Microsoft 365アカウントへのアクセス権を得ることができます。
2つ目は、ユーザーに偽のブラウザまたはOSアップデートページを表示し、いわゆる「ClickFix」というソーシャルエンジニアリング手法を使ってマルウェアをダウンロードさせるよう仕向ける手法です。この手法では、被害者自身に悪意あるソフトウェアをインストールさせるよう巧妙に誘導します。
Microsoftは、このキャンペーンで使用されている主要なマルウェアファミリーを2種類特定しました。
1つ目の「CornFlake」はリモートアクセス型トロイの木馬(RAT)で、感染したWindowsコンピューターへの持続的な制御権を攻撃者に与えます。インストールされると、ファイルの収集、キーストロークの記録、パスワードや認証トークンの窃取、音声・動画の録音・録画、USBドライブなどのリムーバブルメディアの検知が可能になり、攻撃者は侵害したシステムを遠隔操作できるようになります。
2つ目の「ChocoShell」は情報窃取型マルウェアで、ブラウザのCookie、保存されたパスワード、Microsoft 365のシングルサインオン(SSO)トークン、Wi-Fi認証情報を収集するよう設計されています。CornFlakeが被害端末への長期的な足場の確保を目的としているのに対し、ChocoShellはクラウドアカウントなど各種オンラインサービスへのアクセスに利用できる認証情報を素早く抜き取ることを目的としています。
Microsoftによると、この作戦はWindowsコンピューター以外にも拡大している可能性があるといいます。偽のアップデートページの一部には、Androidユーザーに対して悪意あるアプリケーションのダウンロードとインストールを指示する内容が含まれているとのことです。
Microsoftによる攻撃主体の特定は、ReliaQuestが以前示した見解とは異なっています。ReliaQuestは、この手口がAPT28(Fancy BearまたはForest Blizzardとしても知られる)の手法に似ていると指摘していました。APT28はロシア軍参謀本部情報総局傘下のハッキング集団で、以前にはルーターを悪用してMicrosoft 365アカウントを狙うキャンペーンとの関連が指摘されていました。
これに先立ち4月には、英国の国家サイバーセキュリティセンター(NCSC)が、APT28のハッカーが脆弱なインターネットルーターを悪用し、セキュリティ対策が不十分な、あるいは古いネットワーク機器を侵害することでWebトラフィックを乗っ取り、スパイ活動を行っていると警告していました。
一方Microsoftは、この活動をStorm-2945によるものと特定しており、同社はStorm-2945をMidnight Blizzard(APT29、Cozy Bear、BlueBravoとしても知られる)の一部と位置づけています。Midnight Blizzardは、ロシアの対外政策目標を支援する目的で、政府機関、外交使節団、および防衛・エネルギー・メディア・政治分野の組織を主な標的とするスパイ活動グループです。
現在確認されている活動はホテルに集中していますが、ReliaQuestは以前、キャプティブポータル型のネットワークを運用する組織であれば、空港、コンファレンスセンター、コワーキングスペース、大学、医療機関、イベント会場など、あらゆる組織が標的となり得ると警告していました。
翻訳元: https://therecord.media/russian-wifi-hackers-hotels
