ホテルや会議施設のWi-Fiネットワークに設置されたキャプティブポータルが乗っ取られ、宿泊客や来場者を攻撃者のインフラ経由に誘導する事態が確認されました。偽のブラウザやOS更新プログラムを装い、ロシアによるスパイ活動用マルウェアをインストールさせる手口です。
Microsoft Threat Intelligenceが7月31日に公開した調査によると、同社が「CaptiveCrunch」と名付けたこのキャンペーンは5月初旬から続いており、Midnight BlizzardのサブクラスターであるStorm-2945の犯行とされています。
米英両政府はこれまでにも、Midnight Blizzard(別名APT29、the Dukes、Cozy Bear)をロシア対外情報庁(SVR)の関与によるものと断定しています。
Microsoftはポータルがどのように侵害されたのか現在も調査を続けていますが、被害を受けたネットワーク間で機器や管理システムに共通点が見られると指摘しています。同社は、これが個別施設ごとの侵害というよりも、キャプティブポータルのエコシステム内で共有されているサービスへのアクセスを反映している可能性があるとしています。
接続確認をトリガーにした偽の更新表示
攻撃者はユーザーがウェブサイトを訪問するのを待つのではなく、ブラウザやOSが新しいネットワークに接続した際に自動的に発する接続確認リクエストに応答する手口を用いました。この確認リクエストへの応答として、ブラウザまたはシステムの更新を促すページが返される仕組みです。
着地ページではClickFix手法が使われ、偽の検証失敗画面を表示した上で、コピー&ペーストして実行するよう指示する内容になっていました。Microsoftによれば、一部ではAPKファイルも配布されており、Androidも標的にしていた可能性があるとしています。
7月16日以降は、一部のページがユーザーをデバイスコード認証フローへとリダイレクトし、攻撃者が用意したコードを本物のMicrosoftサインインページに入力させる手口も確認されました。
Microsoftは、この手法自体は目新しいものではないものの、キャプティブポータルに組み込むことでリクエストがより正当なものに見えやすくなると指摘しています。
7月23日に一連の活動の一部を報告したReliaQuestは、ホテルや会議場などの共有施設でこの手口を確認しており、法人の出張者アカウントが標的にされていたとしています。
3つのツールと共通のカバーストーリー
主要なインプラントは、Go言語で書かれたリモートアクセス型トロイの木馬(RAT)「CornFlake」です。インストール中は偽の進行状況ウィンドウを表示し、その後「Cloud Sync Service」という表示名でWindowsサービスとして登録されます。
キーロギング、スクリーンショット取得、マイク・ウェブカメラによる監視、ブラウザの認証情報窃取、リモートシェル機能を備えるほか、防御側が持続化の仕組みを除去してもそれを復元するウォッチドッグ機能も搭載しています。
「ChocoShell」と呼ばれるPowerShell製の情報窃取マルウェアは完全にメモリ上で動作し、Antimalware Scan Interface(AMSI)を無効化した上で、ブラウザのCookie、保存済みパスワード、Microsoft 365のシングルサインオントークン、Wi-Fi認証情報を収集します。
開発者が残したコメントにはMicrosoftの特定の検知シグネチャ名や、各回避手法を選んだ理由が記されており、Microsoftはこれについて、AIを活用したコード生成が行われたことをうかがわせるとしています。同社は、攻撃者が今回の作戦の大部分でAIを利用していたとし、調査への協力に対してAnthropicとOpenAIに謝意を示しました。
運用側は、架空の企業向けクラウド製品を装ったWebパネル「FruitStone」からこのキャンペーンを操作しており、インプラントのカバーストーリーとも整合しています。
Microsoftは、ホテルや会議施設、空港の無線ネットワークは信頼できないものとして扱うこと、モバイル回線やeSIM接続を優先すること、キャプティブポータル経由で提供されるソフトウェアは絶対にインストールしないことを推奨しています。また、不要な場合はデバイスコードフローをブロックし、パスキーを導入することも推奨事項として挙げています。
ホテルや会議施設のWi-Fiネットワークに設置されたキャプティブポータルが乗っ取られ、宿泊客や来場者を攻撃者のインフラ経由に誘導する事態が確認されました。偽のブラウザやOS更新プログラムを装い、ロシアによるスパイ活動用マルウェアをインストールさせる手口です。
Microsoft Threat Intelligenceが7月31日に公開した調査によると、同社が「CaptiveCrunch」と名付けたこのキャンペーンは5月初旬から続いており、Midnight BlizzardのサブクラスターであるStorm-2945の犯行とされています。
米英両政府はこれまでにも、Midnight Blizzard(別名APT29、the Dukes、Cozy Bear)をロシア対外情報庁(SVR)の関与によるものと断定しています。
Microsoftはポータルがどのように侵害されたのか現在も調査を続けていますが、被害を受けたネットワーク間で機器や管理システムに共通点が見られると指摘しています。同社は、これが個別施設ごとの侵害というよりも、キャプティブポータルのエコシステム内で共有されているサービスへのアクセスを反映している可能性があるとしています。
接続確認をトリガーにした偽の更新表示
攻撃者はユーザーがウェブサイトを訪問するのを待つのではなく、ブラウザやOSが新しいネットワークに接続した際に自動的に発する接続確認リクエストに応答する手口を用いました。この確認リクエストへの応答として、ブラウザまたはシステムの更新を促すページが返される仕組みです。
着地ページではClickFix手法が使われ、偽の検証失敗画面を表示した上で、コピー&ペーストして実行するよう指示する内容になっていました。Microsoftによれば、一部ではAPKファイルも配布されており、Androidも標的にしていた可能性があるとしています。
7月16日以降は、一部のページがユーザーをデバイスコード認証フローへとリダイレクトし、攻撃者が用意したコードを本物のMicrosoftサインインページに入力させる手口も確認されました。
Microsoftは、この手法自体は目新しいものではないものの、キャプティブポータルに組み込むことでリクエストがより正当なものに見えやすくなると指摘しています。
7月23日に一連の活動の一部を報告したReliaQuestは、ホテルや会議場などの共有施設でこの手口を確認しており、法人の出張者アカウントが標的にされていたとしています。
3つのツールと共通のカバーストーリー
主要なインプラントは、Go言語で書かれたリモートアクセス型トロイの木馬(RAT)「CornFlake」です。インストール中は偽の進行状況ウィンドウを表示し、その後「Cloud Sync Service」という表示名でWindowsサービスとして登録されます。
キーロギング、スクリーンショット取得、マイク・ウェブカメラによる監視、ブラウザの認証情報窃取、リモートシェル機能を備えるほか、防御側が持続化の仕組みを除去してもそれを復元するウォッチドッグ機能も搭載しています。
「ChocoShell」と呼ばれるPowerShell製の情報窃取マルウェアは完全にメモリ上で動作し、Antimalware Scan Interface(AMSI)を無効化した上で、ブラウザのCookie、保存済みパスワード、Microsoft 365のシングルサインオントークン、Wi-Fi認証情報を収集します。
開発者が残したコメントにはMicrosoftの特定の検知シグネチャ名や、各回避手法を選んだ理由が記されており、Microsoftはこれについて、AIを活用したコード生成が行われたことをうかがわせるとしています。同社は、攻撃者が今回の作戦の大部分でAIを利用していたとし、調査への協力に対してAnthropicとOpenAIに謝意を示しました。
運用側は、架空の企業向けクラウド製品を装ったWebパネル「FruitStone」からこのキャンペーンを操作しており、インプラントのカバーストーリーとも整合しています。
Microsoftは、ホテルや会議施設、空港の無線ネットワークは信頼できないものとして扱うこと、モバイル回線やeSIM接続を優先すること、キャプティブポータル経由で提供されるソフトウェアは絶対にインストールしないことを推奨しています。また、不要な場合はデバイスコードフローをブロックし、パスキーを導入することも推奨事項として挙げています。
翻訳元: https://www.infosecurity-magazine.com/news/captivecrunch-midnight-blizzard/
