ホテルのWi-Fiを狙う攻撃、カスタムマルウェアでMicrosoft 365アカウントを侵害

Microsoftは、ホスピタリティ業界のWi-Fiネットワークを標的とした世界規模のキャンペーンを、ロシアの脅威アクター「Midnight Blizzard」(別名APT29)と関連付けました。

この活動はサイバーセキュリティ企業ReliaQuestの報告書ですでに明らかにされており、攻撃者がWi-Fi機器のDNS設定を変更してMicrosoft 365アカウントを窃取する手口が詳述されていました。

Microsoftは、このキャンペーンをMidnight Blizzardのサブクラスターであるロシアのハッカー集団Storm-2945によるものと特定した上で、持続的アクセス、認証情報の窃取、監視、データ流出の機能を備えたCornFlakeおよびChocoShellと呼ばれる2種類のマルウェアファミリーを特定しました。

Microsoftはこのキャンペーンを「CaptiveCrunch」と命名し、少なくとも5月上旬から活動していたとみています。ただし、この脅威アクターは2月からデバイスコードおよびOAuthコードを使ったフィッシング活動をすでに展開していました。

攻撃チェーン

攻撃者はキャプティブポータル機器が提供するネットワーク上でDNSおよびHTTPトラフィックを操作し、ホテルや会議施設のWi-Fiネットワークに接続するユーザーの通信を傍受します。

ReliaQuestと同様、Microsoftも侵害の正確な初期侵入経路を特定できていませんが、個々のデバイスではなく共有インフラストラクチャで侵害の痕跡が見られたと指摘しています。

DNS設定を改ざんした後、攻撃者は被害者をMicrosoft 365のログインポータルを装ったフィッシングページ、あるいはMicrosoft Entra IDの認証フローを悪用したデバイスコードフィッシングページへとリダイレクトできます。Microsoftはこの活動を7月から観測しています。

これまで明らかにされていなかった第三の手口は、偽のブラウザやOS更新ページを使い、ユーザー確認を求めるClickFixプロンプトを通じてWindowsにマルウェアを配布するというものです。

Microsoftはまた、一部のClickFix着地ページにおいて、この脅威アクターがAndroidデバイスも標的にし、APKファイルを配布しようとしている証拠を発見しました。

CornFlakeとChocoShellのマルウェア

Microsoftはこれら2つの新しいWindowsマルウェアファミリーを分析し、CornFlakeがGo言語で書かれたリモートアクセス型トロイの木馬(RAT)であり、以下の機能を備えていることを突き止めました。

• リモートシェルアクセス
• キーロギング
• クリップボード監視
• スクリーンショット取得
• マイク・ウェブカメラによる監視
• ブラウザの認証情報・Cookie窃取
• Microsoft 365セッショントークンの窃取
• ファイル窃取
• USB監視
• システム偵察

実行されると、CornFlakeは偽の進捗表示ウィンドウを表示してユーザーの注意をそらしつつ、バイナリを%AppData%にコピーして永続化を図ります。

研究者によれば、この偽ウィンドウはWindowsアップデート画面、Defenderのウイルススキャン、ディスク最適化ツール、ネットワーク診断ツール、ブラウザ更新プロンプト、あるいは文書ビューアーのインストーラーなど、さまざまな形に偽装できるよう設定可能とのことです。

CornFlakeは正規のWindowsコンポーネントに見せかけるため「Cloud Sync Service」を名乗り、Windowsサービス登録、レジストリのRunキー、タスクの登録、さらに利用可能な永続化機構を復元するウォッチドッグ処理など、ホスト上で複数の永続化手法を用います。

2つ目のペイロードであるChocoShellは、メモリ上で動作するPowerShellベースの認証情報窃取ツールで、ブラウザのCookie、保存されたパスワード、Microsoft 365およびAzure ADのトークン、Wi-Fi認証情報を標的とします。

コード内に詳細なコメントが多数含まれていることから、Microsoftはこれら2つのマルウェアの開発にAIツールが使用された可能性が高いと評価しています。

研究者らはまた、この脅威アクターが感染システムの管理、被害者のファイル閲覧、PowerShellコマンドの実行、スクリーンショットやキー入力の記録に使用していた、保護のかかっていないWebベースの管理パネル「FruitStone」も発見しました。

Microsoftは、ホテルや会議施設のWi-Fiは信頼できないものとして扱い、可能な限りプライベートな携帯回線や管理されたネットワーク接続を利用すること、そしてキャプティブポータル経由で提供されるソフトウェアアップデートやツールの使用を避けることを推奨しています。

あわせて、MFAやパスキーを用いたフィッシング耐性のある認証方式を導入すること、不要な場合はMicrosoft Entraのデバイスコード認証を無効化すること、ゲストWi-Fiネットワークへの登録に企業の認証情報を使用しないことも推奨されています。