SecurityWeek za ReliaQuest informuje, że cyberprzestępcy przeprowadzają ataki na urządzenia obsługujące publiczne sieci Wi-Fi z tzw. captive portal (stroną logowania), by przejmować konta Microsoft 365 podróżujących służbowo pracowników firm.

Autor: 3 min czytania

W ramach ataków napastnicy modyfikują konfigurację DNS na przejętych routerach klasy SOHO (Small Office/Home Office), przekierowując użytkowników do kontrolowanej przez siebie infrastruktury w celu kradzieży danych uwierzytelniających.

Kampania trwa co najmniej od czerwca 2026 roku. Przypomina zaobserwowaną wcześniej operację FrostArmada, przypisywaną APT28 – znanej również jako Forest BlizzardlubFancy Bear– sponsorowanej przez państwo grupie, która według ekspertów jest powiązana z Głównym Zarządem Wywiadowczym Sztabu Generalnego Rosji (GRU). Pisaliśmy o jej „dokonaniach” wielokrotnie.

Wykorzystując technikę Adversary-in-the-Middle (AitM), napastnicy są w stanie przechwytywać ruch sieciowy ofiar oraz pozyskiwać ich dane logowania i inne poufne informacje.

Według ReliaQuest najnowsza kampania obejmuje zhakowane bramy Wi-Fi w obiektach współdzielonych, takich jak hoteleicentra konferencyjne w Stanach Zjednoczonych, Indiach oraz Arabii Saudyjskiej.

Firma ostrzega, że podobna powierzchnia ataku dotyczy każdej organizacji udostępniającej sieci Wi-Fi z captive portal, w tym lotnisk, centrów konferencyjnych, placówek ochrony zdrowia, uczelni oraz obiektów organizujących wydarzenia.

„Zaobserwowaliśmy ruch do tych przejętych bram z organizacji działających w wielu sektorach, w tym usług finansowych, usług profesjonalnych, kancelarii prawnych, ochrony zdrowia, energetyki i handlu detalicznego. Potwierdza to, że nie jest to kampania wymierzona w konkretną branżę, lecz w podróżujących pracowników, niezależnie od tego, gdzie łączą się z Internetem” – podkreśla ReliaQuest.

Eksperci zidentyfikowali cztery zarejestrowane przez atakujących domeny wykorzystywane do wyświetlania fałszywych stron podszywających się pod usługi Microsoft i służących do wyłudzania danych logowania.

W odróżnieniu od kampanii FrostArmada, najnowsze ataki wykorzystywały zatruwanie DNS (DNS poisoning), aby przekierowywać wszystkich użytkowników do infrastruktury kontrolowanej przez napastników. Zdaniem ReliaQuest może to wskazywać na „mniej zaawansowanego lub mniej ostrożnego aktora niż APT28”.

Ogólnie rzecz biorąc, zastosowane w nowej kampanii taktyki, techniki i procedury (TTP) sugerują, że sprawcy przynajmniej częściowo wykorzystują metody działania charakterystyczne dla APT28, jednak ich aktywność nie pokrywa się całkowicie z wcześniejszą kampanią FrostArmada.

„Ataki na urządzenia obsługujące captive portal – szczególnie wykorzystywane w hotelach i centrach konferencyjnych – nie były wcześniej opisywane w raportach dotyczących FrostArmada. Również infrastruktura wykorzystywana przez napastników różni się od tej obserwowanej w poprzednich operacjach APT28. Zarejestrowane domeny i adresy IP nie odpowiadają infrastrukturze wykorzystywanej we wcześniejszych kampaniach tej grupy” – podsumowuje ReliaQuest.