ホテルWi-Fiを悪用する「CaptiveCrunch」、旅行者を偽の更新画面に誘導してCornFlake RATを配布

「CaptiveCrunch」、ホテルWi-Fiの通信を操作して旅行者にCornFlake RATを配布

「Storm-2945」として追跡されるMidnight Blizzardの関連クラスターが、ホテルのWi-Fiネットワークを悪用して旅行者を標的とするサイバースパイ活動を再開した。2026年10月5日には、情報窃取機能を持つ「CornFlake RAT」を使用した新たな攻撃の展開が確認された。今回の攻撃では、個々のホテルを直接狙うのではなく、ホテル向けの管理サービスを提供する事業者を標的とする手法が用いられたとみられている。Microsoftの調査によると、攻撃に先立って複数のサービス事業者が侵害された可能性があり、関連するインフラとして北米の70以上のIPアドレスが確認されたという。標的となった事業者には、米国の大手ホテルチェーン上位10社のうち7社にサービスを提供する企業も含まれていた。

攻撃に使用された「CaptiveCrunch」は、DNSおよびHTTPトラフィックを操作し、ホテルのWi-Fiを利用するユーザーを攻撃者が管理するインフラへリダイレクトする仕組みとなっている。誘導先では、ブラウザやOSの更新を装った偽の案内を表示し、利用者に悪意のあるペイロードをダウンロードさせようとする。一部のランディングページではAndroidユーザーにAPKファイルのインストールを促す仕組みも確認された。ただし、Android端末を対象とした大規模な攻撃活動は現時点で確認されていない。

攻撃者はClickFixに類似したソーシャルエンジニアリング手法を用いて利用者に操作を促し、CornFlake RATの実行につなげる。CornFlake RATは「Cloud Sync Service」という名称を装い、WindowsのレジストリにあるRunキーやスケジュールタスクを利用して永続化を図る。これにより、感染した端末で継続的に動作する仕組みを備えている。

Microsoftは、今回の攻撃に関連するCDNやIPアドレスなどのインフラ情報を脅威指標として提示し、ホテルのWi-Fi接続時に表示されるブラウザやOSの更新案内を安易に実行しないよう注意を促している。組織側では、不審なダウンロードや端末の設定変更、レジストリのRunキー、スケジュールタスクなどを確認することで、関連する攻撃活動の検出につなげられる。また、公開された脅威指標をMISPやSIEMなどの基盤に取り込み、DNS通信やHTTPリダイレクト、既知の攻撃インフラへの接続履歴と照合することも、影響範囲の把握や不審な通信の遮断に役立つ。