Microsoft avertizează asupra atacurilor prin Wi-Fi public. Hotelurile și aeroporturile, vizate de hackeri ruși

Adaugă-ne ca sursă preferată în Google Urmărește-ne pe Google News

Microsoft avertizează că rețelele Wi-Fi din hoteluri, aeroporturi și centre de conferințe sunt folosite într-o campanie de spionaj informatic atribuită hackerilor asociați serviciului rus de informații externe (SVR). Compania recomandă turiștilor și persoanelor care călătoresc în interes de serviciu să evite, pe cât posibil, conectarea la rețele wireless publice.

Campania, denumită CaptiveCrunch, a fost identificată de Microsoft Threat Intelligence și este activă din luna mai 2026. Potrivit companiei, atacurile au vizat infrastructura Wi-Fi din mai multe țări și folosesc paginile de autentificare ale rețelelor pentru a instala programe malițioase pe dispozitivele victimelor.

Operațiunea, atribuită unei grupări asociate serviciului rus SVR

Microsoft atribuie operațiunea grupării Storm-2945, considerată o ramură a Midnight Blizzard, cunoscută și sub numele APT29 sau Cozy Bear. Autoritățile din Statele Unite și Marea Britanie au asociat anterior această grupare cu Serviciul de Informații Externe al Rusiei (SVR).

Potrivit Microsoft Threat Intelligence, atacurile sunt „răspândite, dar țintite” și au fost observate în hoteluri, centre de conferințe și alte locații care folosesc pagini speciale pentru autentificarea utilizatorilor înainte de accesul la internet.

Cum funcționează atacul

Atacul începe în momentul în care utilizatorul se conectează la rețeaua Wi-Fi și este redirecționat către așa-numitul captive portal, pagina unde, în mod obișnuit, trebuie acceptați termenii de utilizare sau sunt introduse informații precum numărul camerei ori adresa de e-mail.

Hackerii modifică traficul DNS și HTTP al rețelei și trimit utilizatorii către pagini controlate de ei. În locul unei simple confirmări a conexiunii, victima primește un mesaj care solicită instalarea unei presupuse actualizări pentru Windows, browser, drivere sau programe de securitate.

Fereastra apare chiar în timpul conectării la rețea, ceea ce îi conferă un aspect legitim și poate crea impresia că actualizarea este necesară pentru accesul la internet.

Malware care oferă control asupra calculatorului

În realitate, fișierul descărcat instalează un program de acces de la distanță numit CornFlake. Acesta se copiază pe sistem, își creează mecanisme de pornire automată și se ascunde sub denumiri care imită procese legitime din Windows.

Microsoft arată că malware-ul poate:

• înregistra tastele apăsate, inclusiv parolele;
• monitoriza conținutul copiat în clipboard;
• realiza capturi de ecran;
• activa microfonul și camera video;
• căuta și copia documente, imagini, arhive, e-mailuri și chei de criptare;
• extrage parolele și cookie-urile salvate în browser;
• monitoriza dispozitivele USB conectate;
• executa comenzi de la distanță în Windows.

O altă componentă identificată, ChocoShell, este specializată în furtul parolelor, cookie-urilor de sesiune, datelor de autentificare Wi-Fi și tokenurilor utilizate pentru accesarea serviciilor Microsoft 365.

Android. Sursă foto: Pixabay

Potrivit Microsoft, furtul cookie-urilor și al tokenurilor este deosebit de periculos deoarece, în anumite situații, atacatorii pot accesa conturile fără a mai avea nevoie de parola utilizatorului.

Atacurile pot viza și telefoanele Android

Compania a identificat indicii că atacatorii încearcă să compromită și telefoane cu Android. În unele cazuri, utilizatorii sunt îndrumați să descarce și să instaleze un fișier APK din surse neoficiale.

Alte pagini imită serviciile Microsoft și folosesc o metodă de autentificare aparent legitimă bazată pe un cod de verificare. Atacatorii inițiază autentificarea pe propriul dispozitiv și îi cer victimei să introducă un cod pe pagina oficială Microsoft. Utilizatorul crede că își autorizează propriul laptop, însă aprobă, de fapt, accesul hackerilor.

În cazul conturilor profesionale, această metodă poate permite accesul la e-mailurile din Microsoft 365, fișierele stocate în OneDrive și alte resurse ale companiei.

Recomandările Microsoft pentru utilizatori

Microsoft recomandă ca rețelele Wi-Fi din hoteluri, aeroporturi, centre de conferințe și alte spații publice să fie considerate nesigure.

Compania recomandă utilizarea unei conexiuni proprii la internet, prin hotspot de pe telefon, cartelă eSIM sau un dispozitiv dedicat de internet mobil.

De asemenea, utilizatorii nu ar trebui să instaleze actualizări, certificate, programe de securitate sau aplicații de reparare a conexiunii afișate după conectarea la o rețea publică. Actualizările pentru Windows și aplicații trebuie realizate exclusiv din meniurile oficiale ale sistemului de operare sau direct din aplicațiile respective.

Microsoft recomandă și evitarea introducerii parolelor conturilor profesionale pe paginile de conectare ale hotelurilor și ignorarea solicitărilor neașteptate de introducere a codurilor de autentificare. Autentificarea multifactor și utilizarea cheilor de acces de tip passkey pot reduce riscurile, însă aprobarea unei cereri frauduloase poate compromite în continuare contul.