- Microsoftによると、ロシアのAPT29(Midnight Blizzard)がホテルや会議施設のキャプティブポータルを乗っ取っている
- 被害者は偽のMicrosoft 365ログイン画面や偽の更新ページへ誘導され、CornFlakeとCocoShellというマルウェアに感染させられる
- CornFlakeはファイルや認証情報、デバイス情報を窃取し、CocoShellはブラウザのCookieやパスワード、Microsoftのトークンを狙う
脅威アクターがホテルや会議施設のWi-Fiネットワークを乗っ取り、ログインポータルを悪用して認証情報を盗んだり、情報窃取型マルウェアを展開したりしていると専門家が指摘しています。
Microsoftの研究者らはこのほど新たなレポートを公開し、ロシアの国家支援型攻撃者として知られるMidnight Blizzard(別名APT29)がキャプティブポータル機器を狙っていると報告しました。キャプティブポータルとは、ユーザーが公共Wi-Fiに接続する前に表示されるログインページを管理するネットワーク機器・ソフトウェアのことです。
ホテルのネットワークに接続すると、ユーザーは通常、部屋番号を入力し、利用規約に同意した上で「接続」をクリックするページへ誘導されますが、この誘導処理を担っているのがキャプティブポータルです。
CornFlakeとCocoShell
Microsoftは、この機器がどのような手口で攻撃されているのかについて詳細を明らかにしていません。しかし、侵害されたネットワークでユーザーがログインを試みると、認証情報を盗み取る偽のMicrosoft 365ログインポータルへ誘導される場合があるとしています。
また、Microsoft Entra IDの認証フローを悪用したデバイスコードフィッシングページへ誘導されるケースもあります。さらに研究者らは、キャプティブポータルが偽のブラウザやOSの更新ページを表示し、被害者に情報窃取型マルウェアをダウンロードさせる手口にも使われていることを確認しました。
これまでのところ、Microsoftは配布されている2種類のマルウェア、CornFlakeとCocoShellを確認しています。
CornFlakeは情報窃取型マルウェアとして機能し、キーストロークやクリップボードの取得、リモートシェルアクセスの実行、スクリーンショットの取得、マイクやウェブカメラの利用、ブラウザの認証情報とCookieの窃取、ファイルの外部送信など幅広い機能を備えています。「Cloud Sync Service」を装いながら、複数の永続化手法を用いて動作します。
一方のCocoShellは、メモリ上で動作するPowerShellベースの認証情報窃取ツールで、ブラウザのCookie、保存されたパスワード、Microsoft 365やAzure ADのトークン、Wi-Fiの認証情報を標的にしています。
APT29は、これまでで最も詳細に調査されている国家支援型脅威アクターの一つです。長年にわたり活動を続けており、ロシア対外情報庁との関連や、米国・ドイツ政府高官、さらにはSolarWindsやMicrosoftといった西側の要人・組織に対する著名な攻撃で知られています。
