Microsoftは7月31日(米国時間)、「CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft｜Microsoft Security Blog」において、フリーWi-Fiなどで利用登録時に表示される「キャプティブポータル」を悪用し、マルウェアを配布する攻撃を確認したと発表した。
被害者がネットワーク接続すると、DNSおよびHTTP(Hypertext Transfer Protocol)トラフィックが操作され、攻撃者の管理するインフラストラクチャにリダイレクトされるという。
偽の利用登録サイトでマルウェア配布
Microsoftの報告によると、本件はロシア政府の支援を受けているとみられる脅威グループ「Midnight Blizzard」のサブクラスター「Storm-2945」による攻撃とされる。同社は攻撃キャンペーンを5月初旬ごろに確認し、「CaptiveCrunch」と名付けている。
-
CaptiveCrunchの侵害経路 引用：Microsoft
一般的なキャプティブポータル方式では、Wi-Fi接続直後のDNSおよびHTTPトラフィックは遮断されており、事業者が用意した内部の利用登録サイトで利用規約への同意および各種情報を登録しなければならない。
攻撃者はこの仕組みを悪用し、偽の利用登録サイトに被害者を誘導することでマルウェアを配布した。キャプティブポータルのネットワークシステムを侵害した手法は特定されていない。
偽の利用登録サイトでは、Webブラウザやオペレーティングシステムの更新、認証の失敗などを演出し、回復手順としてClickFix戦術によるコマンドの実行を要求する。利用者が指示に従うとマルウェアがダウンロード、実行される。
-
被害者に表示される偽の認証画面。ClickFix戦術でコマンドの実行を誘導する 引用：Microsoft
その後の調査では7月以降、マルウェアの配布と平行してデバイスコード認証を悪用するフィッシング攻撃が確認された。利用者は利用登録またはその他のタイミングで、Microsoftの公式サインインページからデバイスコードを入力するように求められるが、指示に従うとMicrosoftサービスに不正アクセスされる可能性がある。
認証情報も狙う攻撃を確認
配布されたマルウェアは、遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)「CornFlake」と、情報窃取マルウェア「ChocoShell」の2種類とされる。
CornFlakeは、キーロガーやスクリーンショット取得、WebブラウザのCookieや保存パスワードの窃取、マイク・カメラの制御、バックドアの展開など、多数の情報窃取・遠隔操作機能を備える。
ChocoShellはWebブラウザ情報やMicrosoft 365の認証情報、Wi-Fi認証情報などの窃取を目的とする。
Microsoftが推奨する対策
Microsoftは本件攻撃を回避するために、公衆無線LANの使用を避けるように呼びかけている。外出先でインターネット接続が必要となった場合は、自身が所有するスマートフォンのテザリングや、衛星通信の利用を推奨している。
その他の推奨事項は次のとおり。
- キャプティブポータルを介したソフトウェアの配布およびコマンドの実行要求に警戒する
- パスキーおよび多要素認証(MFA: Multi-Factor Authentication)を使用する
- 組織の管理者は、デバイスコード認証を可能な限り無効にする
- 組織はClickFix戦術およびフィッシング詐欺の手法について社員教育を徹底する
この他に、同社はハンティングクエリーやセキュリティ侵害インジケーター(IoC: Indicator of Compromise)などを公開。セキュリティ担当者に対し、対策強化に活用するように提案している。
