گروه Storm-2945، که یکی از زیرمجموعه‌های گروه Midnight Blizzard است، کمپین جاسوسی موسوم به CaptiveCrunch را مجدداً فعال کرده است. این عملیات با سوءاستفاده از شبکه‌های Wi-Fi در صنعت هتلداری، مسافران را هدف قرار داده تا از طریق آلوده کردن دستگاه‌ها، به حساب‌های سازمانی دسترسی پیدا کند.
مکانیزم حمله و زنجیره نفوذ
بر اساس گزارش‌های اخیر، این عامل تهدید با دسترسی به ارائه‌دهندگان خدمات مدیریت شده (MSP) در حوزه هتلداری، توانسته است زنجیره تامین این صنعت را هدف قرار دهد. این حمله به جای نفوذ به تک‌تک هتل‌ها، از طریق تامین‌کنندگان بالادستی انجام شده است که منجر به تأثیرپذیری حدود ۷۰ آدرس IP مرتبط با سه ارائه‌دهنده بزرگ در آمریکای شمالی شده است.
در این متد، مهاجمان ترافیک DNS و HTTP را در شبکه‌هایی که از Captive Portals (صفحات ورود Wi-Fi) استفاده می‌کنند، دستکاری کرده و کاربران منتخب را به زیرساخت‌های تحت کنترل خود هدایت می‌کنند. سپس با سوءاستفاده از بررسی‌های خودکار اتصال مرورگر (Connectivity Checks)، پیام‌های جعلی مبنی بر نیاز به به‌روزرسانی مرورگر، سیستم‌عامل یا تعمیر شبکه را نمایش می‌دهند تا کاربر را به دانلود و اجرای فایل‌های مخرب ترغیب کنند.
تحلیل فنی بدافزارهای مورد استفاده
- CornFlake RAT: یک بدافزار سرقت اطلاعات (Infostealer) که نسخه‌های جدید آن با زبان Rust توسعه یافته‌اند. این بدافزار خود را تحت عنوان “Cloud Sync Service” در مسیر
%APPDATA%svchost32svchost32.exeجای‌گذاری کرده و از طریق Registry Run keys و Scheduled Tasks پایداری (Persistence) خود را حفظ می‌کند. قابلیت‌های آن شامل Keylogging، ضبط صدا و تصویر، سرقت پسوردهای مرورگر و اجرای دستورات از راه دور (RCE) است. - ChocoShell: یک بدافزار مبتنی بر PowerShell که در حافظه (In-memory) اجرا شده و کوکی‌های مرورگر، توکن‌های Microsoft 365 و اطلاعات Wi-Fi را استخراج می‌کند. این ابزار برای دور زدن AMSI و دسترسی به داده‌های محافظت شده از تکنیک‌های Token Impersonation استفاده می‌کند.
سوءاستفاده از احراز هویت Device Code
علاوه بر بدافزارها، این گروه از تکنیک Device Code Phishing در سرویس Microsoft Entra استفاده می‌کند. قربانیان با وارد کردن کدهای تولید شده توسط مهاجم در صفحات رسمی ورود مایکروسافت، بدون اینکه متوجه شوند، اجازه دسترسی به نشست (Session) خود را به عامل تهدید می‌دهند.
توصیه‌های امنیتی برای مدیران SOC
برای مقابله با این تهدید، توصیه‌های زیر پیشنهاد می‌شود:
- استفاده از اتصالات خصوصی (VPN) در شبکه‌های عمومی و هتلی.
- مسدود کردن جریان‌های Device Code Flow در صورتی که نیاز تجاری صریحی وجود نداشته باشد.
- پایش و تحلیل ارتباطات مشکوک با دامنه‌هایی نظیر
cdn-gstat[.]comوnetwork-privacy[.]com. - بررسی ایجاد فایل‌های اجرایی یا آرشیو در بازه زمانی کوتاه پس از اتصال به شبکه‌های Wi-Fi عمومی.
