Alert. Masowo hackują sieci WiFi w hotelach / kawiarniach / na konferencjach na całym świecie. Cel: podróżujący pracownicy korporacji.

O akcji ostrzega Microsoft, pisząc:

zidentyfikowaliśmy w kilku krajach powszechne naruszenia bezpieczeństwa sieci WiFi w organizacjach z branży hotelarsko-gastronomicznej oraz w innych sieciach obsługiwanych przez urządzenia wspierające captive portal.

Najpierw przejmowane są routerki dające dostęp do sieci WiFi. Umówmy się, często jedynym zabezpieczeniem w hotelu jest nieaktualizowany od 5 lat TP-Link z hasłem admin/admin…

W kolejnym kroku atak może być realizowany wielotorowo:

• Łączysz się do sieci WiFi i wyświetla się tzw. captive portal przygotowany przez atakujących. Na captive portalu może być np. prośba o rozwiązanie CAPTCHA – polegająca rzekomo na naciśnięciu konkretnej sekwencji klawiszy w Windows (Clickfix – patrz foto). Jak ktoś się nabierze – infekuje swój komputer. Inna opcja: fejkowe okienko logowania się do konta Microsoft.
  
  
  
  
• Jeśli podłączyłeś się telefonem, to captive portal nakłania Cię do pobrania fejkowej appki (plik APK)
  
• Trick ze złośliwym Web Proxy Auto-Discovery (WPAD) – czyli ustawiają na komputerze ofiary swoje proxy (jak ktoś chce więcej poczytać o tym tricku – wrzucam w komentarz link do dokładnego opisu z sekuraka). Info dla laików – próbują przekierować cały Twój ruch przez swój serwer. Jakimś cudem im się to udaje mimo powszechnego użycia HTTPS.

Microsoft przypisuje te działania jednej z rosyjskich grup APT; przygotował również wysokopoziomowe podsumowanie całej akcji w formie diagramu:

Dość rozległe zalecenia możecie znaleźć tutaj; w szczególności znajduje się tu rekomendacja o korzystaniu z własnych hotspotów WiFi w podróży oraz używaniu firmowego VPN po ew. podłączeniu się do publicznej sieci WiFi.

~ms