Hackeri susținuți de statul rus au preluat controlul asupra rețelelor Wi-Fi publice din hoteluri și centre de conferințe din întreaga lume, folosind inteligența artificială (IA) pentru a susține o mare parte a operațiunii.
Microsoft Threat Intelligence a raportat campania, denumită CaptiveCrunch, pe 31 iulie, atribuind-o unui grup urmărit sub numele de Storm-2945. Compania a declarat că această campanie se desfășoară încă de la începutul lunii mai, cu scopul de a fura datele de autentificare ale călătorilor de afaceri din mediul corporativ și guvernamental, scrie Kyiv Post.
Se pare că Storm-2945 este un subgrup operațional al Midnight Blizzard – un actor de amenințare pe care guvernele SUA și Regatului Unit l-au asociat cu Serviciul de Informații Externe al Rusiei (SVR).
„Midnight Blizzard este consecvent și persistent în țintele sale operaționale, iar obiectivele sale se schimbă rar”, a raportat Microsoft, adăugând că „obiectivul său principal este colectarea de informații prin spionaj de lungă durată și dedicat, în sprijinul intereselor de politică externă ale Rusiei”.
Cum funcționează atacul
Se pare că hackerii au exploatat echipamentele și sistemele de gestionare din spatele paginilor de înregistrare Wi-Fi ale hotelurilor, cunoscute sub numele de portaluri captive.
Apoi au manipulat traficul din sistemul de nume de domeniu (DNS) și din protocolul de transfer hipertext (HTTP) pentru a redirecționa vizitatorii prin infrastructura aflată sub controlul lor.
Potrivit Microsoft, această tehnică prezintă unele similitudini cu o altă operațiune de deturnare a DNS-ului semnalată în luna aprilie.
Odată redirecționate, victimele primeau solicitări false de actualizare, deghizate în verificări de rutină ale browserului sau ale sistemului de operare. Atunci când erau accesate, aceste solicitări distribuiau programe malware, inclusiv un troian de acces la distanță pentru Windows numit CornFlake, capabil să înregistreze tastele apăsate, să fure datele de autentificare și token-urile de sesiune, precum și să efectueze supraveghere audio și video pe dispozitivele infectate.
Microsoft a declarat că ancheta privind modul în care rețelele de tip „captive portal” au fost inițial compromise este în curs de desfășurare.
Cu toate acestea, compania a remarcat că echipamentele și sistemele de gestionare comune în mai multe locații afectate sugerează că intruziunile ar putea proveni dintr-un punct comun de acces, mai degrabă decât din compromiteri izolate.
Un model de atacuri îndreptate împotriva instituțiilor occidentale
Raportul Microsoft leagă campania CaptiveCrunch de strategia de lungă durată a grupului Midnight Blizzard de a viza categorii specifice de victime.
„Se știe că acest actor de amenințare vizează în principal guverne, entități diplomatice, organizații neguvernamentale (ONG-uri) și furnizori de servicii de tehnologie informațională (IT), în special în SUA și Europa”, a raportat Microsoft.
Potrivit companiei, grupul se abate rar de la acest model și are un istoric îndelungat de atacuri asupra instituțiilor occidentale.
Context
Pe 25 iulie, CNN a relatat că hackeri susținuți de statul rus au vizat oameni de știință nucleari americani, contractori din domeniul apărării și angajați guvernamentali într-o campanie de spionaj cibernetic care a folosit tehnici utilizate inițial împotriva Ucrainei.
Compania americană de securitate cibernetică Proofpoint a constatat că hackerii erau interesați în special de „entități și utilizatori cu interes în fuziunea nucleară”, ceea ce sugerează că Moscova ar fi căutat să obțină informații despre progresele înregistrate de concurenții din acest domeniu.
Campania a vizat, de asemenea, agenții guvernamentale federale și locale, forțele de ordine, sectorul educației, cel energetic, mass-media, organizațiile din domeniul tehnologiei și industria apărării.
Autoritățile consideră în general că acest tip de atacuri cibernetice au loc cel puțin din iulie 2025.
UE include pe lista neagră cetățeni și companii rusești în urma unor atacuri cibernetice
Pe 14 iulie, UE și Regatul Unit au impus sancțiuni coordonate care vizează operațiunile cibernetice ale Rusiei, acuzând Serviciul Federal de Securitate (FSB) din Moscova că a orchestrat o campanie de atacuri cibernetice împotriva guvernelor europene, a infrastructurii critice și a întreprinderilor.
Sancțiunile au vizat, de asemenea, nouă persoane și companii acuzate că fac parte din „ecosistemul cibernetic” al Rusiei, responsabil de campaniile de phishing și de ransomware.
Aceste măsuri au marcat prima ocazie în care UE și Regatul Unit au impus simultan sancțiuni în cadrul regimurilor lor respective de sancțiuni.
Editor : Sebastian Eduard
