🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Хакеры начали красть учетные записи через Wi-Fi в отелях
30 июля. / КИБЕР МЕДИА /. Злоумышленники взламывают сетевые шлюзы отелей и конференц-центров, после чего подменяют DNS-ответы для всех подключенных гостей. Кампания продолжается как минимум с июня 2026 года, а зараженное оборудование обнаружили в нескольких городах США, Индии и Саудовской Аравии.
После подключения к Wi-Fi пользователь может открыть привычный адрес Microsoft 365, но попасть на подконтрольную атакующим страницу. В расследовании ReliaQuest фигурируют домены, имитирующие сервисы Microsoft. Атака не требует фишингового письма или заражения ноутбука: достаточно доверия к DNS-серверу гостиничной сети.
В отдельных случаях применялся вход по коду устройства. Пользователь подтверждал авторизацию на внешне легитимной странице, после чего злоумышленник получал действующие OAuth-токены для Microsoft 365, в том числе после прохождения многофакторной аутентификации. Примерно в трети наблюдений также предпринимались попытки использовать WPAD для перенаправления трафика Windows и macOS через вредоносный прокси.
Тактика напоминает кампанию FrostArmada, в которой APT28 меняла DNS-настройки взломанных домашних и офисных маршрутизаторов. Эту активность ранее описывали Microsoft и Национальный центр кибербезопасности Великобритании. Однако новую серию атак напрямую с APT28 пока не связали: совпадают методы, но не инфраструктура.
Основной защитой назван постоянно включенный VPN с полным туннелированием, который направляет через корпоративную сеть в том числе DNS-запросы. Организациям также рекомендуют отключать WPAD и вход по коду устройства там, где эти функции не нужны.