CaptiveCrunch: Microsoft מייחסת לקבוצה רוסית השתלטות על Wi-Fi במלונות ובכנסים
לפי Microsoft, קבוצה שהיא מזהה כחלק מ-Midnight Blizzard פורצת לציוד ה-Wi-Fi של מלונות ומרכזי כנסים. היא מפנה אורחים לדפי כניסה מזויפים ל-Microsoft 365 ולהתקנת נוזקה.
TL;DR בקצרה
- Microsoft פרסמה ב-31 ביולי 2026 את הניתוח של CaptiveCrunch, קמפיין שמיוחס ל-Storm-2945, אשכול משנה של Midnight Blizzard.
- התוקפים משנים את תעבורת ה-DNS וה-HTTP ברשתות עם דף התחברות לאורחים, ומפנים מטיילים לשלושה סוגי פיתוי.
- הפיתויים הם דף כניסה מזויף, אישור device code, ועדכון מזויף שמריץ נוזקה בשיטת ClickFix.
- Microsoft ממליצה להתייחס ל-Wi-Fi של מלונות כרשת לא בטוחה, להפעיל passkeys ולחסום את זרימת device code.
Microsoft מייחסת לקבוצה שקשורה לרוסיה מתקפה בשם CaptiveCrunch, שמשתלטת על רשתות Wi-Fi במלונות ובמרכזי כנסים. המטרה היא לגנוב חשבונות Microsoft 365 ולהתקין נוזקה על מחשבים של מטיילים. Microsoft פרסמה את הממצאים ב-31 ביולי 2026. מי שעובד מחדר מלון או מכנס צריך להכיר את הסכנה.
מה גילתה Microsoft על CaptiveCrunch
לפי Microsoft, הקמפיין מיוחס ל-Storm-2945, אשכול משנה של Midnight Blizzard. זו הקבוצה שמוכרת גם כ-APT29. לפי iTnews, ממשלות ארה״ב ובריטניה מייחסות את Midnight Blizzard לשירות הביון הרוסי SVR. Microsoft מעריכה שהקמפיין פעיל לפחות מתחילת מאי 2026.
בלב המתקפה עומד ציוד captive portal, דף ההתחברות שמופיע כשמצטרפים ל-Wi-Fi של מלון. התוקפים משנים את תעבורת ה-DNS וה-HTTP ברשתות כאלה. כך הם מפנים אורחים לתשתית משלהם. לפי iTnews, ההפניה מתחילה כבר בבדיקת החיבור שהמכשיר מריץ כשהוא מצטרף לרשת.
Microsoft לא הצליחה לקבוע איך התוקפים פרצו לציוד. יש סימנים לפריצה לתשתית משותפת, ולא לכל מלון בנפרד. לדברי Microsoft, ההשתלטות התרחשה בכמה מדינות, אבל היא לא מנתה אותן.
לפי BleepingComputer מ-24 ביולי, חברת האבטחה ReliaQuest זיהתה שערים שנפרצו בכמה ערים בארה״ב, בהודו ובסעודיה.
שלושה פיתויים שמחכים למטייל
הפיתוי הראשון הוא דף כניסה מזויף שמחקה את Microsoft 365 ואוסף שם משתמש וסיסמה. השני הוא דף שמבקש לאשר מכשיר בשיטת device code. זו שיטת כניסה לגיטימית של Microsoft Entra ID שנועדה למכשירים בלי מקלדת. לפי ReliaQuest, מי שמאשר את ההנחיה נותן בלי לדעת אישור לכניסה שהתוקף פתח.
הפיתוי השלישי חדש. זה דף עדכון מזויף לדפדפן או למערכת ההפעלה, שמבקש מהמשתמש להעתיק פקודה ולהריץ אותה. בשם ClickFix מכנים את השיטה הזו. לפי Zscaler, ההטעיות כוללות עדכון Windows מזויף, בדיקת Defender ומתקין של קורא PDF.
ההרצה מורידה אחת משתי נוזקות. CornFlake היא כלי גישה מרחוק בשפת Go, עם צילום מסך, האזנה למיקרופון ולמצלמה ורישום הקשות. ChocoShell רצה בזיכרון וגונבת עוגיות וסיסמאות מהדפדפן, אסימוני Microsoft 365 וסיסמאות Wi-Fi. לפי BleepingComputer, Microsoft מעריכה ש-AI שימש בפיתוח שתיהן, לפי ההערות הרבות בקוד.
יש גם סימנים להתמקדות במכשירי Android, עם הנחיה להתקין APK.
למה CaptiveCrunch עוקפת הגנות רגילות
ראשית, התוקף יושב בנתיב הרשת. כששער ה-Wi-Fi בידיו, הוא משנה את הבקשות הראשונות של המכשיר. לכן גם משתמש זהיר רואה דף כניסה שנראה אמיתי.
ReliaQuest מזהירה שמעבר למפענח DNS ציבורי, כמו 8.8.8.8 של Google, לא עוצר את המתקפה. השער משנה את בקשות ה-DNS הגלויות לפני שהן מגיעות למפענח. בכשליש מהמקרים שנבדקו ניסו התוקפים גם לנצל את WPAD, מנגנון שמאתר אוטומטית שרת proxy. ReliaQuest לא הצליחה לאשר אם הניסיונות הצליחו.
הקורבנות לא שייכים לענף אחד. ReliaQuest זיהתה תעבורה מפיננסים, שירותים מקצועיים, משפט, בריאות, אנרגיה וקמעונאות. היא מסיקה שהמתקפה פוגעת בעובדים מטיילים בכלל.
ReliaQuest קישרה את שיטת הפעולה ל-APT28, אבל לא הוכח קשר ישיר. Microsoft מייחסת את CaptiveCrunch ל-Storm-2945.
מה זה אומר עבורכם
- חסמו את device code: אם אין לכם צורך בשיטת הכניסה הזו, חסמו אותה. עשו זאת במדיניות Conditional Access של Microsoft Entra ID. Microsoft וגם ReliaQuest ממליצות על כך.
- עברו להזדהות עמידה בפישינג: הפעילו passkeys במקום להסתפק באישור בהודעה. אישור כזה הוא בדיוק מה שהתוקף מנסה לקבל.
- אל תסמכו על Wi-Fi של מלון: עבדו דרך נקודה חמה בטלפון או נתב נסיעות שהארגון מנהל. ReliaQuest ממליצה גם על VPN מלא שפועל תמיד, בלי חריגים.
- אל תתקינו עדכון מדף ההתחברות: ואל תעתיקו פקודות מדף ״אימות״. Microsoft ממליצה לא להתקין עדכונים וכלים שדף ה-captive portal מציע.
- אל תירשמו עם חשבון העבודה: לפי Microsoft, אין להשתמש בפרטי הארגון כדי להירשם ל-Wi-Fi של אורחים. צוותי IT יכולים לעבור על יומני הכניסה ולחפש כניסות בשיטת device code שלא ביקשתם.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
מה הלאה
הציוד שנפרץ עדיין לא זוהה במלואו, וגם Microsoft לא קבעה איך התוקפים נכנסו אליו. עד שיתברר, הנחת העבודה היא שכל רשת אורחים עלולה להיות פגועה.
מה קרה מאז: ב-11 באוגוסט פרסמה Zscaler ניתוח משלים של הקמפיין, עם רשימת אינדיקטורים. לפי Zscaler, וקטור הגישה הראשוני עדיין בבדיקה.
מקורות והרחבה
- CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theftMicrosoft
- Hotel Wi-Fi attacks use custom malware to breach Microsoft 365 accountsBleepingComputer
- Russia-linked Midnight Blizzard group hijacks hotel wi-fi with CaptiveCrunchiTnews
- Hackers hijack hotel Wi-Fi DNS to steal Microsoft 365 accountsBleepingComputer
- CaptiveCrunch: Midnight Blizzard Weaponizes Hotel Wi-Fi Captive PortalsZscaler
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
