Microsoft Threat Intelligence opisuje kampanię CaptiveCrunch, prowadzoną od początku maja 2026 roku przez Storm-2945, podgrupę rosyjskiego aktora określanego jako Midnight Blizzard. Działania polegają na manipulowaniu ruchem sieciowym w sieciach obsługiwanych przez portale captive, czyli strony wymagające od użytkownika wykonania określonej czynności przed uzyskaniem dostępu do internetu. Wśród dotkniętych środowisk są sieci hoteli, obiektów konferencyjnych i innych wspólnych miejsc używanych przez podróżnych.
Według Microsoftu napastnicy wykorzystują przejętą pozycję w infrastrukturze sieciowej do przekierowywania użytkowników przez kontrolowane przez siebie serwery. W części przypadków prowadzi to do phishingu wymierzonego w dane logowania, a w innych do dostarczenia złośliwego oprogramowania podszywającego się pod aktualizację przeglądarki lub systemu operacyjnego. Celem operacji mają być między innymi konta firmowe używane przez osoby podróżujące służbowo, a konsekwencją może być dostęp do usług chmurowych i danych organizacji.
Atak zaczyna się od sieci, której użytkownik ufa
Portal captive jest częstym elementem publicznych i hotelowych sieci Wi-Fi. Użytkownik może oczekiwać, że strona wyświetlona po połączeniu z taką siecią służy wyłącznie do zaakceptowania regulaminu albo wpisania danych dostępu. W kampanii CaptiveCrunch ten moment zaufania jest wykorzystywany do przekierowania ruchu. Microsoft zaobserwował manipulowanie zarówno zapytaniami DNS, jak i ruchem HTTP z sieci obsługiwanych przez takie portale. Dochodzenie dotyczące pierwotnego sposobu przejęcia infrastruktury nadal trwa.
Microsoft wskazuje na podobieństwa między urządzeniami i systemami zarządzania obecnymi w wielu dotkniętych sieciach. Nie przesądza to, że wszystkie obiekty zostały przejęte w ten sam sposób, ale sugeruje, że aktywność może obejmować wspólne usługi używane przez część ekosystemu portali captive, a nie tylko niezależne włamania do pojedynczych hoteli. ReliaQuest, który opisał część tej aktywności 23 lipca, wykrył podobne działania także w centrach konferencyjnych i innych współdzielonych obiektach.
- Kampania jest prowadzona co najmniej od początku maja 2026 roku i obejmuje sieci w kilku krajach.
- Ruch użytkowników może być kierowany do fałszywych stron usług Microsoftu lub do stron udających aktualizacje.
- Wykorzystywany jest phishing AitM oraz przepływ device code authentication flow w Microsoft Entra ID.
- Dostarczane komponenty mogą kraść pliki, klawisze, hasła, tokeny sesji i dane z przeglądarek.
- Microsoft ocenia, że Storm-2945 jest operacyjną podgrupą Midnight Blizzard.
Phishing i złośliwe aktualizacje
Jednym z mechanizmów kampanii jest atak adversary-in-the-middle, określany skrótem AitM. Napastnik pośredniczy w komunikacji użytkownika z usługą i może kierować go do infrastruktury imitującej legalne serwisy internetowe. ReliaQuest wskazał, że część operacji korzysta z domen przypominających usługi Microsoftu. W tym scenariuszu wykorzystywany był także device code authentication flow w Microsoft Entra ID, czyli mechanizm logowania kodem urządzenia. Microsoft odnotował, że podobne kampanie phishingowe prowadzone od lutego 2026 roku kończyły się rejestracją urządzeń w Entra ID i późniejszym zbieraniem danych z Microsoft 365.
Drugi ważny scenariusz wykorzystuje techniki określane jako ClickFix. Użytkownik widzi komunikat sugerujący konieczność naprawy połączenia, aktualizacji przeglądarki albo wykonania czynności związanej z bezpieczeństwem. Zamiast automatycznej poprawki strona próbuje skłonić go do pobrania i uruchomienia pliku. Microsoft zidentyfikował kilka wariantów takiego oprogramowania dla Windows. Firma odnotowała również sygnały wskazujące, że podobne techniki mogą być kierowane do urządzeń z Androidem, ponieważ niektóre strony zawierały instrukcje pobrania i instalacji pliku APK.
Taki sposób dostarczania złośliwego kodu jest szczególnie istotny w podróży, ponieważ użytkownik korzysta z obcej sieci, nie zna jej administratora i może uznać nietypowy komunikat za element procesu logowania. Sama obecność portalu captive nie oznacza jednak, że sieć jest złośliwa. Ryzyko pojawia się wtedy, gdy strona żąda instalacji programu, uruchomienia nieoczekiwanego skryptu albo podania danych, które nie są potrzebne do uzyskania dostępu do Wi-Fi.
CornFlake zapewnia trwałą obecność na Windows
Głównym implantem Storm-2945 jest CornFlake, pełnoprawny trojan zdalnego dostępu napisany w języku Go i skompilowany dla systemu Windows. Po uruchomieniu może wyświetlać wiarygodnie wyglądające okno postępu, aby odwrócić uwagę użytkownika, a następnie ustanawiać obecność w systemie. Microsoft zaobserwował kilka mechanizmów utrzymania dostępu, w tym usługi systemowe, wpisy rejestru, zaplanowane zadania oraz procedurę kontrolną, która próbuje odtwarzać usunięte elementy. Oprogramowanie celowo naśladuje nazewnictwo legalnych składników systemu.
CornFlake komunikuje się z serwerem sterującym za pomocą szyfrowanego kanału. Z opisu Microsoftu wynika, że implant wykorzystuje wymianę kluczy opartą na krzywych eliptycznych, a następnie własny protokół danych przesyłanych w formacie JSON. Konfiguracja może być zmieniana bez ponownego wdrażania całego programu. Pozwala to operatorowi dostosowywać między innymi serwery komunikacyjne, zakres obserwowanych katalogów i reguły zbierania danych. Implant ma także budowę modułową, dzięki czemu może współpracować z dodatkowymi komponentami.
Zakres funkcji CornFlake obejmuje rozpoznanie systemu, zbieranie plików i informacji o klawiaturze, kradzież danych uwierzytelniających i tokenów sesyjnych, a także monitorowanie nośników wymiennych. Microsoft wymienia również możliwość prowadzenia nadzoru audio i wideo oraz udostępnienia operatorowi zdalnej powłoki. Nie oznacza to, że wszystkie funkcje muszą być aktywne na każdym zainfekowanym urządzeniu. Ich użycie jest sterowane konfiguracją, co pozwala napastnikom dobierać działania do konkretnego celu.
ChocoShell koncentruje się na danych logowania
Drugim opisanym komponentem jest ChocoShell, infostealer oparty na PowerShellu, który może być dostarczany i wykonywany w pamięci. Jego zadaniem jest pozyskiwanie danych o wysokiej wartości dla dalszych działań, przede wszystkim ciasteczek sesyjnych przeglądarek, zapisanych haseł, tokenów jednokrotnego logowania Microsoft 365 oraz danych uwierzytelniających do sieci Wi-Fi. CornFlake zapewnia długotrwały dostęp do urządzenia, natomiast ChocoShell służy do szybkiego zebrania informacji umożliwiających przejęcie kont lub wykorzystanie istniejących sesji.
Microsoft opisuje w ChocoShellu mechanizmy ukrywania aktywności i utrudniania wykrycia. Skrypt próbuje omijać część kontroli bezpieczeństwa, rozpoznawać środowiska testowe oraz unikać działania w określonych warunkach. Dodatkowe moduły są pobierane w sposób mający przypominać zwykły ruch sieciowy, a zebrane dane są kompresowane i przesyłane do infrastruktury kontrolowanej przez napastników. W najbardziej rozbudowanych scenariuszach narzędzie potrzebuje podwyższonych uprawnień, aby uzyskać dostęp do chronionych danych przeglądarek i mechanizmów systemowych.
Szczególne znaczenie ma kradzież ciasteczek i tokenów sesyjnych. Takie dane mogą reprezentować już ustanowiony dostęp, dlatego ich przejęcie bywa dla napastnika wygodniejsze niż próba poznania samego hasła. Microsoft podaje, że ChocoShell obsługuje popularne przeglądarki oparte na Chromium, między innymi Chrome, Edge, Brave, Opera i Vivaldi. Narzędzie uwzględnia zarówno nowsze mechanizmy ochrony danych przeglądarkowych, jak i starsze rozwiązania systemowe, a także korzysta z więcej niż jednej ścieżki dostępu do lokalnych baz danych.
Powiązanie z Midnight Blizzard i znaczenie dla organizacji
Microsoft ocenia, że Storm-2945 jest operacyjną podgrupą Midnight Blizzard na podstawie technicznych i operacyjnych podobieństw. Wskazywane elementy obejmują podobne kampanie phishingowe wykorzystujące kody urządzeń i kody OAuth, zbieranie poczty przez Microsoft Graph, inżynierię społeczną prowadzoną za pośrednictwem komercyjnych komunikatorów oraz zbliżony profil ofiar. Microsoft porównuje tę działalność także do Storm-2372, innej podgrupy związanej z operacjami uzyskiwania początkowego dostępu.
Midnight Blizzard jest aktorem przypisywanym przez rządy Stanów Zjednoczonych i Wielkiej Brytanii rosyjskiej Służbie Wywiadu Zagranicznego, znanej jako SVR. Według opisu Microsoftu grupa koncentruje się przede wszystkim na rządach, podmiotach dyplomatycznych, organizacjach pozarządowych i dostawcach usług IT, głównie w Stanach Zjednoczonych i Europie. Jej celem jest długotrwałe pozyskiwanie informacji wywiadowczych. Kampania CaptiveCrunch rozszerza punkt wejścia o infrastrukturę sieciową, z której korzystają osoby przebywające poza własną organizacją.
Dla organizacji oznacza to potrzebę łączenia ochrony punktów końcowych z kontrolą tożsamości i obserwacją infrastruktury dostępowej. Warto analizować nietypowe przekierowania DNS i HTTP, zmiany w zachowaniu portali captive, nieoczekiwane rejestracje urządzeń w Microsoft Entra ID oraz użycie przepływów kodu urządzenia. Na urządzeniach końcowych istotne są sygnały związane z fałszywymi aktualizacjami, nietypowym uruchamianiem PowerShellu, dostępem do danych przeglądarek i próbami ustanowienia trwałej obecności.
Użytkownicy podróżujący powinni traktować jako sygnał ostrzegawczy każdą stronę sieci Wi-Fi, która wymaga instalacji programu, uruchomienia skryptu lub pobrania aplikacji spoza oficjalnego sklepu. Aktualizacje systemu i przeglądarek należy wykonywać za pomocą ich wbudowanych mechanizmów albo oficjalnych kanałów producenta, a nie za pośrednictwem przypadkowego komunikatu wyświetlonego po połączeniu z siecią hotelową. Microsoft udostępnił wraz z opisem kampanii wskazówki dotyczące ograniczania ryzyka, wykrywania i polowania na powiązaną aktywność.
