Microsoft ตรวจพบแคมเปญโจมตีจากกลุ่ม Storm-2945 ซึ่งเชื่อมโยงกับ Midnight Blizzard กลุ่มแฮกเกอร์ที่มีความเกี่ยวข้องกับหน่วยข่าวกรองรัสเซีย โดยมุ่งเจาะระบบ Wi‑Fi ของโรงแรมและสถานบริการหลายแห่งทั่วโลก
ผู้โจมตีเน้นเครือข่ายที่ต้องล็อกอินผ่านหน้า Captive Portal ก่อนใช้งานอินเทอร์เน็ต จากนั้นอาจใช้หน้าเข้าสู่ระบบหรือหน้าอัปเดตปลอมเพื่อขโมยข้อมูลการล็อกอิน และหลอกให้ผู้ใช้งานติดตั้งมัลแวร์
มัลแวร์ที่ใช้ในแคมเปญ
การตรวจสอบพบมัลแวร์หลักสองชนิดที่ทำงานต่างกัน แต่ช่วยให้ผู้โจมตีเข้าถึงข้อมูลและควบคุมเครื่องของเหยื่อได้ต่อเนื่อง
- CornFlake เป็น RAT สำหรับ Windows ใช้ขโมยไฟล์ ดักการพิมพ์ รหัสผ่าน โทเคนยืนยันตัวตน รวมถึงบันทึกเสียงและวิดีโอ
- ChocoShell เป็น Infostealer ที่ขโมยคุกกี้เบราว์เซอร์ รหัสผ่านที่บันทึกไว้ โทเคน Microsoft 365 และรหัสผ่าน Wi‑Fi
- มัลแวร์ยังตรวจหาไดรฟ์ USB และเปิดทางให้ผู้โจมตีควบคุมเครื่องจากระยะไกลได้
ผู้ใช้ควรระวังอะไร
Microsoft ระบุว่าแคมเปญนี้อาจไม่ได้จำกัดเฉพาะ Windows เพราะพบหน้าอัปเดตปลอมที่หลอกให้ผู้ใช้ Android ติดตั้งแอปแฝงมัลแวร์ด้วย ผู้ใช้จึงควรตรวจสอบชื่อเครือข่ายและหน้าเข้าสู่ระบบให้รอบคอบ ไม่ติดตั้งโปรแกรมหรือแอปจากลิงก์ที่โรงแรมส่งมาโดยไม่ยืนยัน และหลีกเลี่ยงการกรอกรหัสผ่านสำคัญบนหน้าเว็บที่ผิดปกติ