Microsoftは、ホテルや会議施設などの宿泊関連Wi-Fiネットワークがロシアのグループによって悪用され、世界中の旅行者が標的にされていると警告しました。「CaptiveCrunch」と名付けられたこのキャンペーンは、Wi-Fiへのごく普通のログイン操作を、企業アカウントやデバイスを侵害する機会に変えてしまいます。
利用者から見ると、何も普段と変わったところはありません。ホテルのWi-Fiに接続し、いつものキャプティブポータルの案内が表示され、場合によってはブラウジングを始める前に何かを更新する必要があるという、見覚えのあるようなメッセージが表示されることもあります。しかし、その裏では、国家との関連が指摘されているこのグループがネットワーク経路上に自らを配置し、キャプティブポータル型Wi-FiのDNS(ドメインネームシステム)通信やHTTP通信を操作しています。
ここから、いくつかの事態が起こり得ます。
- ログイン情報の窃取: 利用者のブラウザセッションが、偽のMicrosoftログイン画面など攻撃者が管理するフィッシングページへリダイレクトされ、認証情報やデバイスコード、OAuthトークンが収集されます。
- マルウェアのダウンロード: 利用者には偽の更新画面やClickFixダイアログが表示され、マルウェアがダウンロードされます。この場合、通常はリモートアクセス型トロイの木馬(RAT)と情報窃取型マルウェアがセットで使われます。
- 機器介在型攻撃(MitM): 通信が気づかれないまま攻撃者のインフラを経由してプロキシされ、さらなる認証情報窃取につながる状況が作られます。
報道によれば、この一連の攻撃で使用されている主要なマルウェアの一つがCornFlakeと呼ばれるもので、これはWebカメラの映像やマイク音声、キーストロークを取得できるリモートアクセス型トロイの木馬(RAT)です。
また、情報窃取型マルウェアはChocoShellと特定されており、これはファイルレス型のPowerShellベースの情報窃取ツールで、主に侵害したシステムからブラウザのセッションCookie、保存済みパスワード、Microsoft 365のシングルサインオン(SSO)トークン、Wi-Fi認証情報を狙います。
Microsoftは、侵害されたWi-Fiに接続した際に表示され得る偽のダイアログの一覧を挙げています。
- winupdate: 「更新プログラムを処理しています…コンピューターの電源を切らないでください」と表示される偽のWindows Updateウィンドウ。
- defender: 偽のWindowsセキュリティによるウイルススキャン画面。
- directx: 「DirectXエンドユーザーランタイムWebインストーラー」。
- vcredist: 偽のMicrosoft Visual C++再頒布可能パッケージインストーラー。
- sysopt: ディスク最適化ユーティリティを装ったもの。
- netfix: Windowsネットワーク診断の「修復」ツールを装ったもの。
- browser: ブラウザ更新の案内。
- pdfview: 文書・PDFビューアーのインストーラーを装ったもの。
安全を守るために
Malwarebytesは公衆Wi-Fiの安全性について以前から警告しています。旅行中に安全を確保するためのポイントは次のとおりです。
- 公衆Wi-Fiを使う代わりに、自分のスマートフォンのテザリングを利用しましょう。特にeSIMと信頼できる通信キャリアを使ったモバイル接続であれば、身元の分からないホテルのネットワークに比べて攻撃を受ける可能性を大幅に下げられます。
- やむを得ず公衆Wi-Fiを使う場合は、キルスイッチが有効なVPNを利用しましょう。まずホテルのポータルでの認証を済ませ、その後、どのWebサイトやアプリを開く前にもVPNを起動してください。キルスイッチ機能があれば、VPNが一瞬でも切断された際に即座にすべてのインターネット通信をブロックし、サイバー犯罪者が野放しの通信に不正なコードを注入することを防げます。CaptiveCrunchはキャプティブポータルおよびVPN接続前の通信を狙って動作しますが、それでもVPNはオンライン接続後の受動的なデータ収集を制限するなど、他のリスクの軽減に役立ちます。
- 部屋番号や基本的な認証情報以上のものを求めてくる公衆Wi-Fiのログイン画面や「セキュリティ」ポータルがあれば、必ず証明書を確認してください。これらは必ずしも一目で分かるものばかりではありませんが、ホスト名の不一致、信頼されていない発行者、平文のHTTPといった点は、先に進むのをやめるべき明らかな警告サインになることがあります。
- 多くのキャプティブポータルでは、登録やマーケティング目的でメールアドレスの入力を求めてきます。害がなさそうな場合であっても、本物の受信箱を教える価値はほとんどありません。アドレスの入力が必須の場合は、主要なアカウントとは関係のない偽のアドレスや使い捨てのエイリアスを使うことを検討してください。
- 接続のためにソフトウェアや証明書、ブラウザの更新プログラム、修復ツールのダウンロードを求められた場合は、そこで立ち止まってください。Wi-Fiにログインするためだけに何かをダウンロードする必要は、本来ありません。
- Webページやダイアログの指示、特に端末でコマンドを実行させたりコードのコピー&ペーストを求めたりする指示には、慌てて従わないようにしましょう。カウントダウンや利用者数の表示など、即座の行動を促すプレッシャー戦術を使う、巧妙なClickFixページには注意が必要です。
- デバイスを保護しましょう。Web保護機能を備えた、最新のリアルタイム型アンチマルウェアソリューションを使用してください。
- キャプティブポータル経由でリダイレクトされたページに、Microsoft 365やGoogle Workspaceといった重要な認証情報を直接入力するのは避けましょう。業務用のメールを確認する必要がある場合は、案内画面のリンクをクリックするのではなく、既知のURLからアクセスしてください。
そして最後になりますが、旅行に出る前にはブラウザやOS、その他の重要なソフトウェアを更新しておきましょう。そうすることで、旅行中に正規の更新要求が表示される機会自体を減らすことができます。
脅威を報じるだけでなく、取り除くために。
サイバーセキュリティのリスクは、見出しの中だけにとどめておくべきではありません。今すぐMalwarebytesをダウンロードして、お使いのデバイスを脅威から守りましょう。
