CaptiveCrunchと呼ばれるこのキャンペーンは、2026年5月上旬から活動を続けています。Microsoftは、これをロシアと関係のあるスパイ活動グループMidnight Blizzardの作戦下部クラスターであるStorm-2945によるものだとしています。
報告によれば、攻撃者はDNSを操作し、キャプティブポータル（ホテルや空港、会議場、公共Wi-Fiに接続した際に表示されるサインインページ）を使用するネットワーク上のWebトラフィックにも介入します。
被害者は通常の接続ページを受け取る代わりに、攻撃者が管理するWebサイトへリダイレクトされる可能性があります。
これらのページには、インターネットへのアクセスを継続するにはブラウザの更新、Windowsの更新、ネットワーク修復ツール、セキュリティスキャン、または証明書のインストールが必要であるという、説得力のある偽の表示が出されます。
その狙いは、旅行者に不正なファイルをダウンロードして実行させるよう圧力をかけることです。
一部のページではClickFixと呼ばれるソーシャルエンジニアリング手法が使われており、被害者にコマンドプロンプトやPowerShellといったWindowsのツールへコマンドをコピー&ペーストするよう指示します。
Microsoftはまた、Android向けに悪意のあるAPKファイルのダウンロードを促すページも確認しています。
CaptiveCrunchは、複数の国のホスピタリティ関連ネットワークや、共有型キャプティブポータル基盤を利用するその他の施設に影響を及ぼしています。
セキュリティ研究者は、企業の出張者が主要な標的になっているとみています。彼らのデバイスには、業務用メール、クラウドサービス、機密文書、VPNへのアクセス権が含まれている可能性があるためです。
Microsoftは、このキャンペーンの主要なインプラントとして、CornFlakeと呼ばれるWindows向けリモートアクセス型トロイの木馬（RAT）を特定しました。Go言語で書かれたこのマルウェアは、まず偽の進行状況ウィンドウを表示してユーザーの目をそらします。
このウィンドウは、Windows Update、Microsoft Defender、DirectX、Visual C++インストーラー、ディスク最適化ツール、ブラウザの更新、PDFビューア、Windowsのネットワーク診断などを模倣することができます。
その裏側では、CornFlakeは自身を%APPDATA%\svchost32\svchost32.exeにコピーします。その後、「Cloud Sync Service」として表示される「svchost32」というWindowsサービスを作成することで永続化を図り、レジストリのRunキーやスケジュールタスクも併用します。
このマルウェアには、防御側によって除去された場合に永続化機能を復元するウォッチドッグ機能も搭載されています。
インストールが完了すると、CornFlakeはファイルの収集、キーストロークの記録、クリップボードデータの監視、スクリーンショットの取得、音声の録音、ウェブカメラへのアクセス、USBドライブのスキャン、リモートコマンドの実行が可能になります。
報告によれば、このマルウェアはセキュリティ監視機能を弱体化させる手法を用い、サンドボックス解析を回避し、被害者がローカル管理者権限を持つ場合にはWindowsのユーザーアカウント制御（UAC）を回避することもできるとされています。Microsoftはこのように述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を減らし、脅威をより早期に封じ込めることで、ANY.RUNを使って対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/bogus-wi-fi-repairs-weaponized/
