Microsoft varuje před falešnými aktualizacemi Windows. Ruští špioni číhají na přihlášení hostů k hotelové Wi-Fi

Útočníci změnili taktiku. Zaměřili se na cestující

Ruští útočníci zesilují špionážní aktivity vůči západním organizacím, ale zvolili si jinou cestu než dřív. Místo dobývání dobře chráněných firemních sítí míří na zaměstnance, kteří pro tyto firmy jezdí po světě.

Za kampaní stojí skupina Storm-2945, což je operační podskupina známé skupiny Midnight Blizzard. Ta je vedená také pod označeními APT29 a Cozy Bear a je spojována s ruskou zahraniční rozvědkou SVR. Jde o jednu z nejaktivnějších ruských špionážních skupin s dlouhou historií útoků na vlády, diplomatické instituce, neziskové organizace a poskytovatele IT služeb.

Cílem je dlouhodobý přístup do firemních a státních sítí. Útoky se soustředí hlavně na Spojené státy a Evropu. Logika je prostá – na služební cestě lidé polevují v ostražitosti a k firemním systémům se běžně připojují ze sítí, o kterých automaticky předpokládají, že jsou v pořádku.

Jak kampaň CaptiveCrunch funguje?

Kampaň dostala jméno CaptiveCrunch. Microsoft ji sleduje minimálně od května, přičemž stopy související činnosti s využitím umělé inteligence sahají až do února tohoto roku.

Podstatné je, že útočníci nevytvářejí falešné bezdrátové sítě, kterých si pozornější uživatel může všimnout. Oni ovládnou tu skutečnou. Terčem jsou takzvané captive portály, tedy přihlašovací stránky, přes které se hosté do hotelové sítě připojují. 

Jak se k nim útočníci prvotně dostávají, se zatím nepodařilo objasnit. Vyšetřování ale naznačuje, že problém nemusí být jen v jednotlivých podnicích, ale ve sdílené infrastruktuře, kterou používá více provozovatelů těchto portálů najednou.

Jakmile útočníci ovládnou síťovou vrstvu, manipulují s provozem DNS a HTTP a přesměrovávají uživatele přes vlastní infrastrukturu. Zneužívají také mechanismy, kterými operační systémy automaticky ověřují dostupnost připojení, a přes ně spouštějí podvodné výzvy. Získávají tím pozici prostředníka v komunikaci, takzvaný adversary in the middle.

Falešná okna, která vypadají jako od Microsoftu

Tady přichází nejzáludnější část. Uživateli se zobrazí výzva k instalaci aktualizace nebo opravného nástroje. Používá se metoda známá jako ClickFix, kdy oběť sama provede kroky, které si útočník přeje.

Podvodných oken je celá řada a jsou vytvořena přesvědčivě. Objevuje se falešná obrazovka aktualizace Windows s upozorněním, že se pracuje na aktualizacích a počítač se nemá vypínat. 

Dále falešná kontrola zabezpečení Windows, instalátor DirectX, balíček Microsoft Visual C++ Redistributable, nástroj pro optimalizaci disku, síťová diagnostika Windows, aktualizace prohlížeče nebo instalátor prohlížeče dokumentů.

Zvláštní kategorií jsou falešná ověření přihlášeného uživatele. Tomu se zobrazí stránka připomínající ověřovací obrazovku Googlu s tvrzením, že systémy zaznamenaly neobvyklý provoz a je potřeba projít bezpečnostní kontrolou. 

Kdo výzvu splní, otevře útočníkům dveře. Útoky míří hlavně na počítače se systémem Windows, objevily se ale i varianty připravené pro Android, které oběť navádějí ke stažení instalačního souboru APK.

Co se do počítače dostane?

Hlavním nástrojem je CornFlake, plnohodnotný trojan pro vzdálený přístup napsaný v jazyce Go. Poté, co uživateli zobrazí věrohodné okno s postupem instalace aktualizace Windows, se usadí v systému.

Jeho schopnosti jsou znepokojivě rozsáhlé. Umí zaznamenávat stisky kláves, sledovat schránku, pořizovat snímky obrazovky, odposlouchávat mikrofon i sledovat obraz z kamery, krást přihlašovací údaje z prohlížečů, odesílat soubory, hlídat připojená USB zařízení, prověřovat nastavení zabezpečení a spouštět příkazy na dálku. 

Zároveň si vytváří několik mechanismů, jak v systému přežít restart, a s řídicími servery komunikuje šifrovaně.

CornFlake navíc funguje jako modulární platforma a umí doručit další škodlivý kód. Tím hlavním je ChocoShell, nástroj pro krádež údajů založený na PowerShellu, který běží čistě v paměti. 

Zaměřuje se na to nejcennější, tedy na uložená hesla a cookies relací z prohlížečů, tokeny jednotného přihlášení k Microsoft 365 a Azure AD a na uložené přihlašovací údaje k Wi-Fi sítím. Umí obcházet kontrolu uživatelských účtů, vypínat ochranu AMSI a zneužívat ladicí rozhraní Chromu k získání dešifrovaných cookies přímo z běžícího prohlížeče.

Odborníci našli i řídicí panel jménem FruitStone, přes který útočníci spravují nakažené systémy, nasazují další malware, prohlížejí ukradené údaje a snímky obrazovky a skládají si na míru nové verze CornFlake.

Problém není jen v hotelech

Zjištění Microsoftu se týkají ubytovacích a konferenčních zařízení, ale odborníci upozorňují, že to může být jen špička ledovce. Stejný typ útoku je teoreticky použitelný kdekoli, kde se používají captive portály, tedy na letištích, univerzitách nebo ve zdravotnických zařízeních.

Za zmínku stojí i časová prodleva. Microsoft první případy zaznamenal v květnu, veřejně na ně ale upozornil až po třech měsících. Důvod firma nekomentovala.

Podstata problému je v tom, že se služební cesta stala prodloužením firemního útočného povrchu. Manažeři, státní úředníci i řadoví zaměstnanci běžně přistupují k citlivým firemním systémům z hotelů a bez váhání předpokládají, že je síť v pořádku. Útočníci to vědí a přesouvají se tam, kde lidé přirozeně poleví v obezřetnosti.

Jak se bránit?

Doporučení pro cestující jsou naštěstí srozumitelná. Zásadní pravidlo zní neinstalovat žádné aktualizace, když jste připojeni k veřejné Wi-Fi. Aktualizace se instalují jedině tehdy, když si o ně řekne samotný operační systém svým standardním způsobem, nikdy ne přes vyskakovací okno nebo upozornění na webové stránce.

Totéž platí pro stahování certifikátů, aktualizací prohlížeče, nástrojů na opravu sítě a bezpečnostních utilit. Přihlašovací stránku Wi-Fi je vhodné před zadáním údajů ověřit. Nejlepší je ale veřejnou síť nepoužívat vůbec a spolehnout se na vlastní hotspot v telefonu nebo firemní cestovní router.

Firmy by měly ke konektivitě na cestách přistupovat jako k prostředí se zvýšeným rizikem. To znamená nasadit vícefaktorové ověření odolné vůči phishingu, vyžadovat šifrované VPN připojení na nedůvěryhodných sítích, sledovat neobvyklé přihlašovací pokusy a omezit privilegovaný přístup cestujícím zaměstnancům. Užitečné je i přihlašování bez hesel, i když ani přístupové klíče nemusí být proti triku s kódem zařízení stoprocentní obranou.

Nejúčinnějším opatřením proti této konkrétní metodě je ověřování přes kód zařízení tam, kde je to možné, rovnou vypnout. Zaměstnanec pak nemá jak firemní cloudový přístup útočníkovi předat, ani kdyby chtěl. Stojí také za to projít, jaké údaje zaměstnanci vlastně poskytují hotelům při připojování k jejich sítím.

Zdroj: Microsoft, Cybernews, ABC, Cyber insider, The Register