ロシアSVR、公衆Wi-Fiを悪用したサイバー攻撃 「CornFlake」マルウェアを展開
キャプティブポータルを悪用したAiTM攻撃
Microsoftは、ロシア対外情報庁（SVR）に関連する脅威グループ「Storm-2945」が、ホテルや会議施設などで提供される公衆Wi-Fiを悪用し、マルウェアを配布する攻撃を展開していると明らかにした。同グループは、キャプティブポータルを利用して通信を攻撃者が管理するインフラへ誘導し、公衆Wi-Fi利用者を標的としている。
Storm-2945は、キャプティブポータルを悪用してDNSおよびHTTPトラフィックを改ざんし、ユーザーを信頼できないインフラへリダイレクトする。また、OSのネットワーク接続確認機能を悪用して偽のプロンプトを表示し、悪意のあるリダイレクトを実行することで、Adversary-in-the-Middle（AiTM）攻撃を成立させる。ユーザーがこれらの画面を信用して操作すると、「CornFlake」と呼ばれるマルウェアに感染する可能性がある。
CornFlakeはGo言語で開発されたWindows向けのRATで、キーロギング、クリップボード監視、スクリーンショットの取得などの機能を備える。さらに、「ChocoShell」をペイロードとして配布し、メモリ上で実行することで、ブラウザのCookieや保存済みパスワードを窃取し、クラウド環境への不正アクセスを試みる。
今回の攻撃では、デバイスコードフィッシングとAiTM攻撃を組み合わせ、被害者をMicrosoftの認証ページへ誘導してデバイスコードを入力させることで、不正なOAuthトークンを取得し、Microsoft 365アカウントの乗っ取りを狙う。この手法は多要素認証（MFA）を回避する攻撃として悪用されている。Microsoftは、公衆Wi-Fi利用時の更新プログラムのダウンロードに注意することや、ClickFix攻撃に関するユーザー教育の重要性を呼びかけている。また、組織にはパスワードレス認証の導入などを通じて、デバイスコード認証フローを悪用した攻撃への対策を強化することが求められる。
