W tym roku na urlopie nie łączę się z hotelowym Wi-Fi. Ty też tego nie rób

Hotelowe Wi‑Fi od zawsze było czymś w rodzaju kompromisu: niby darmowe, niby wygodne, ale każdy, kto choć raz pracował zdalnie z pokoju hotelowego, wie, że to infrastruktura o reputacji z pogranicza „działa, ale nie ufaj”. Najnowszy raport Microsoftu pokazuje jednak, że w tym roku ta reputacja powinna zostać zaktualizowana. Nie chodzi już o wolne łącze czy dziwne przekierowania, lecz o pełnoprawną operację cyberataków prowadzoną przez rosyjską grupę Midnight Blizzard, która wykorzystuje hotelowe sieci do przejmowania urządzeń podróżnych.

Midnight Blizzard stosuje techniki, które sprawiają, że użytkownik widzi komunikaty wyglądające jak natywne elementy Windowsa, Chrome’a czy Edge’a. W praktyce oznacza to, że po podłączeniu do hotelowego Wi‑Fi możesz zobaczyć okno aktualizacji systemu, które wygląda absolutnie prawdziwie - tyle że w rzeczywistości jest początkiem przejęcia twojego komputera. A że Polacy podróżują dużo i często pracują zdalnie to temat dotyczy nas bardziej, niż mogłoby się wydawać.

Czytaj też:

CaptiveCrunch to nazwa operacji, która wykorzystuje mechanizm captive portali, czyli tych wszystkich stron, które wyskakują po podłączeniu do hotelowego Wi‑Fi i proszą o numer pokoju, nazwisko albo zwykłe kliknięcie „Accept”. Midnight Blizzard przejmuje kontrolę nad tym procesem, podmieniając prawdziwe strony logowania na fałszywe, które wyglądają identycznie jak oryginał. Użytkownik nie ma żadnego powodu, by podejrzewać, że coś jest nie tak - w końcu takie portale zawsze wyglądają trochę inaczej w każdym hotelu.

Gdy tylko użytkownik kliknie w fałszywy przycisk to zaczyna się właściwa część ataku. Ruch sieciowy jest przekierowywany, a na ekranie pojawiają się komunikaty udające aktualizacje systemu lub przeglądarki. To okna, które wyglądają dokładnie jak Windows Update. Midnight Blizzard nie próbuje oszukać użytkownika prymitywnymi sztuczkami - oni podszywają się pod system na poziomie, który sprawia, że nawet doświadczony użytkownik może się nabrać.

CornFlake to najważniejszy element całej kampanii. To złośliwe oprogramowanie napisane w Go, które po uruchomieniu wyświetla okno wyglądające jak natywna aktualizacja Windowsa, skanowanie Windows Defendera, instalator DirectX albo aktualizacja Chrome’a. W hotelowych warunkach - gdzie sieć jest wolna, a system potrafi zachowywać się dziwnie - takie komunikaty nie budzą żadnych podejrzeń. Użytkownik klika, bo chce jak najszybciej wrócić do pracy.

W tle CornFlake instaluje się jako usługa o nazwie Cloud Sync Service, kopiuje się do katalogu APPDATA i tworzy kilka warstw trwałości. A potem zaczyna działać jak narzędzie do pełnej inwigilacji. Potrafi przechwytywać klawiaturę, schowek i zrzuty ekranu, nagrywać audio i wideo z mikrofonu i kamery, kraść hasła i ciasteczka z przeglądarek, monitorować podłączane pendrive’y, przeszukiwać dysk i wysyłać pliki. To narzędzie, które pozwala atakującemu obserwować użytkownika jak przez szybę, z pełnym dostępem do wszystkiego, co dzieje się na komputerze.

Drugim elementem układanki jest ChocoShell, infostealer działający w pamięci. Jego zadanie jest proste: wyciągnąć wszystko, co da się wykorzystać do przejęcia kont użytkownika. Microsoft opisuje, że potrafi kraść ciasteczka sesyjne, hasła i tokeny Microsoft 365, wyciągać klucze szyfrowania z Chrome, Edge, Brave i Opery, omijać mechanizmy ABE w Chrome, pobierać tokeny logowania z Windowsa, a nawet zbierać hasła do sieci Wi-Fi. To narzędzie, które nie musi instalować się na dysku - działa w pamięci, co utrudnia jego wykrycie.

Część kodu ChocoShell zawiera komentarze sugerujące, że została wygenerowana przez AI. To nie jest pierwszy raz, kiedy cyberprzestępcy korzystają z narzędzi sztucznej inteligencji, ale w tym przypadku widać, że Midnight Blizzard nie tylko atakuje systemy oparte na AI, lecz także sam wykorzystuje ją do przyspieszenia pracy.

Według Microsoftu celem są przede wszystkim podróżujący pracownicy firm, szczególnie ci z dostępem do zasobów korporacyjnych. Midnight Blizzard od lat poluje na organizacje rządowe, NGO, firmy technologiczne i podmioty z Europy oraz Stanów Zjednoczonych. Przejęcie laptopa pracownika w hotelu to dla nich idealny punkt wejścia - użytkownik jest poza bezpieczną siecią firmową, często pracuje w pośpiechu, a hotelowe Wi-Fi traktuje jako coś „tymczasowego”.

W praktyce oznacza to, że jeśli pracujesz z hotelowego Wi-Fi, logujesz się do firmowego Outlooka, Teamsów czy OneDrive’a, a do tego masz włączone automatyczne aktualizacje przeglądarki - to jesteś dokładnie tym typem użytkownika, którego Midnight Blizzard chce dorwać. To nie jest atak na przeciętnego turystę, który sprawdza pogodę w Barcelonie. To atak na ludzi, którzy mają dostęp do danych, systemów i kont, które Midnight Blizzard chce przejąć.

Część fałszywych stron w CaptiveCrunch kieruje użytkownika do logowania za pomocą kodu urządzenia. To legalny mechanizm Microsoftu, używany np. przez urządzenia bez pełnej przeglądarki. Problem w tym, że jeśli wpiszesz kod wygenerowany przez atakującego, to autoryzujesz jego sesję, nie swoją. To phishing, który wygląda jak prawdziwe logowanie Microsoftu, z prawdziwym brandingiem i prawdziwym przepływem autoryzacji.

W hotelowych warunkach - gdzie wszystko jest „tymczasowe” i „dziwne” - łatwo pomylić taki proces z czymś normalnym. Użytkownik widzi kod, wpisuje go na stronie Microsoftu, a potem wraca do pracy, nie wiedząc, że właśnie dał atakującemu dostęp do swojego konta. To jedna z najbardziej podstępnych technik w całej kampanii, bo wykorzystuje legalny mechanizm w sposób, który trudno uznać za podejrzany.

Microsoft nie podaje listy krajów, ale opis sugeruje, że ataki dotyczą wielu miejsc na świecie, a infrastruktura captive portalowa jest często wspólna dla sieci hotelowych w Europie. Polskie hotele korzystają z podobnych rozwiązań jak reszta świata, a Midnight Blizzard nie ma żadnych oporów przed działaniem na terenie UE. Jeśli podróżujesz służbowo po Europie to szanse na zetknięcie się z podatną siecią są realne.

Polacy są też grupą wyjątkowo mobilną - pracujemy zdalnie, latamy na konferencje, jeździmy na delegacje. W praktyce oznacza to, że jesteśmy dokładnie tym typem użytkowników, których Midnight Blizzard chce przejąć. To nie jest abstrakcyjny problem z drugiego końca świata. To coś, co może wydarzyć się w hotelu w Berlinie, Pradze, Londynie, a nawet w Warszawie.

Najważniejsza zasada jest prosta: hotelowe Wi-Fi nie jest bezpieczne. Nigdy nie było, ale teraz mamy dowód, że może być aktywnie wykorzystywane przez grupy powiązane z rosyjskim wywiadem. Microsoft radzi korzystać z własnego hotspotu, nie pobierać żadnych aktualizacji z pop-upów w hotelowej sieci, nie wpisywać firmowych danych na stronach logowania do Wi-Fi, używać MFA i passkeys oraz blokować device code flow, jeśli nie jest potrzebny.

W praktyce oznacza to, że jeśli po podłączeniu do Wi-Fi wyskakuje „aktualizacja Chrome’a”, to nie jest aktualizacja Chrome’a. To jest Midnight Blizzard. Jeśli pojawia się okno Windows Update, które wygląda „trochę inaczej niż zwykle”, to nie jest przypadek. Jeśli strona logowania do Wi-Fi prosi o dane, których nigdy wcześniej nie widziałeś, to nie jest nowa polityka hotelu. To jest sygnał, że coś jest nie tak.

CaptiveCrunch pokazuje, że Midnight Blizzard nie musi włamywać się do firmowych serwerów, jeśli może przejąć laptop pracownika w hotelu. To atak sprytny, technicznie zaawansowany i wyjątkowo trudny do zauważenia. Jeśli podróżujesz z laptopem - szczególnie służbowym - potraktuj hotelowe Wi‑Fi jak otwartą sieć w centrum handlowym. Korzystaj ostrożnie, nie ufaj żadnym aktualizacjom i najlepiej używaj własnego połączenia.

*Zdjęcie otwierające wygenerowane w AI