ロシアの対外情報機関と関係が深い脅威アクターMidnight Blizzardが、ホテルや会議場などの公共Wi-Fiネットワーク利用者を標的にした攻撃を数か月にわたって続けていたことが、Microsoft Threat Intelligenceの新たな調査結果で明らかになりました。
CaptiveCrunch攻撃の流れの概要（出典: Microsoft）
Microsoftはこのキャンペーンを「CaptiveCrunch」と命名し、その背後にある2つのマルウェア株「CornFlake」と「ChocoShell」を特定しました。
セキュリティ企業ReliaQuestが7月23日に公開した先行調査を土台に、Microsoftはこの活動をMidnight Blizzardのサブクラスターである「Storm-2945」に紐づけています。
Microsoftによると、AIによる支援が疑われるこの一連の作戦は2026年2月にまで遡り、トラフィック操作を伴う手口については2026年5月上旬から観測されているとのことです。
「キャプティブポータルネットワークにおける当初の侵害経路については現在も調査を続けていますが、影響を受けた複数のネットワークで使用されている機器や管理システムに顕著な共通点が確認されています。この類似性は、今回の活動が個々の施設に対する孤立した侵害にとどまらず、キャプティブポータルのエコシステムの一部で共有されているサービスへのアクセスを反映している可能性を示唆しています」とMicrosoftは記しています。
攻撃者は侵害したキャプティブポータルネットワーク上でDNSおよびHTTPトラフィックを操作し、被害者を3通りの経路にリダイレクトしていました。うち2つは認証情報の窃取につながるもので、Microsoft 365のサインインポータルを装ったフィッシングページと、Microsoft Entra IDの認証フローを悪用するデバイスコードフィッシングページでした。
3つ目の経路では、偽のブラウザやOSのアップデート画面が表示され、ClickFixと呼ばれるソーシャルエンジニアリング手法を使って被害者にマルウェアをダウンロード・実行させる仕組みになっていました。
Microsoftは、APKファイルを配布するように設定されたClickFixページも確認しており、この脅威アクターがAndroidデバイスも標的にしている可能性を示唆しています。
CornFlakeとChocoShell
研究者らは、CornFlakeをGo言語で書かれたWindows向けRATと説明しており、以下のような幅広い機能を備えているとしています。
- キーロギング
- クリップボード監視
- スクリーンショット取得
- 音声の傍受
- 映像の傍受
- ブラウザ認証情報の窃取
- ファイルの外部送信
- USBドライブの監視
- セキュリティ状態の調査
- リモートシェルアクセス
「初回実行時、CornFlakeはドロッパーとして動作します。もっともらしい進捗表示ウィンドウを見せて被害者の注意を引きつけている間に、バイナリ本体を%APPDATA%\svchost32\svchost32.exeにコピーし、永続化を確立します」と研究者らは付け加えています。
2つ目に特定されたマルウェアChocoShellは、メモリ上で動作するPowerShellベースの認証情報窃取ツールで、ブラウザのCookie、保存済みパスワード、Microsoft 365およびAzure ADのトークン、Wi-Fi認証情報を標的にします。
「CornFlakeが端末上に持続的で長期にわたる足場を攻撃者に提供する一方、ChocoShellは運用上最も価値の高い認証情報を抽出するよう設計されており、攻撃者に被害者のクラウド環境へのアクセスをもたらします」とMicrosoftは指摘しています。
研究者らはさらに、Storm-2945の運用者がCaptiveCrunchのインフラを運用するために使うWebベースのC2パネル「FruitStone」も発見しました。単一ページのHTMLとJavaScriptで構築され、いずれの機能にも認証機構が存在しないこのパネルは、運用者に対して侵害済みエンドポイントの管理、新規ペイロードの作成・展開、スクリーンショットやキー入力、ブラウザ認証情報といった収集済みデータの閲覧を行うダッシュボードを提供します。
推奨対策
Microsoftは、ホテルや会議場のWi-Fiを信頼できないものとして扱い、可能な場合はプライベートな携帯回線や管理された接続を利用し、キャプティブポータル経由で提供されるソフトウェアアップデートやツールの利用を避けるよう推奨しています。
また、従業員がゲストネットワークに接続する際に宿泊施設側にどのような情報を提供しているかを見直すことも推奨されています。
「組織は、公共および宿泊施設のネットワークインフラが信頼できるとは限らないという前提に立ち、トラフィック操作、認証情報の窃取、デバイスコードフィッシングへの露出を抑える対策を導入すべきです」とMicrosoftは結論づけています。
翻訳元: https://www.helpnetsecurity.com/2026/08/04/midnight-blizzard-hotel-wi-fi-networks-hacking/
