ニュース
えっ、公共Wi-Fiの接続画面が偽物？Microsoftが警告する恐るべき手口
2026年8月4日 06:00
Microsoftは7月31日(現地時間)、ロシアに関連する脅威アクター「Midnight Blizzard」のサブグループである「Storm-2945」が、世界中の出張者や旅行者を標的とした大規模なサイバー攻撃活動「CaptiveCrunch」を展開していることを警告した。この攻撃はホテルや会議場などが提供するWi-Fiネットワークのキャプティブポータル(接続時の認証画面)環境を標的にトラフィックを操作し、マルウェアの感染や認証情報の盗取を試みるものである。
今回の攻撃の最大の特徴は、複数の宿泊施設やイベント会場の個々のインフラではなく、共有のキャプティブポータルの管理システムや機器の基盤そのものを侵入の足がかりにしているとみられる点である。被害を受けた複数のネットワークで使われている管理システムや機器に共通点がみられることから、攻撃者が共有サービスにアクセスしている可能性が示唆されている。
ネットワーク空間への侵入を果たした攻撃者は、中間者攻撃の手法を適用し、接続中のユーザー端末から発信されるDNSやHTTPのトラフィックを乗っ取る。一般的にスマートフォンやPCは、Wi-Fi接続時にキャプティブポータルの有無を確認するために自動的な接続チェックリクエストを発行するが、攻撃者はこの自動リクエストに対して改ざんした応答を返し、ユーザーの通信を攻撃者が制御するフィッシングサーバーへ強制的にリダイレクトさせる。
リダイレクト先のランディングページではWebブラウザまたはOSのアップデートを装ったマルウェアを配信する。これは「ClickFix」と呼ばれるソーシャルエンジニアリングで、ユーザー自身にWindowsターミナルやPowerShellを開かせ、画面上に提示された検証スクリプトコマンドを手動でコピー&ペーストして実行させるよう誘導したり、Androidデバイスの場合は問題修正用APKファイルをダウンロードするよう誘導したりすることで侵入を試みる。
ClickFixなどを介して手動コマンドが実行されると、システム内部に主要マルウェア「CornFlake」が送り込まれる。CornFlakeはGo言語で記述されたフル機能のリモートアクセストロイの木馬であり、初回実行時にはユーザーの注意を逸らすためにWindows Updateやセキュリティスキャン、DirectXエンドユーザーランタイムWebインストーラーなどを模した偽の進行状況ウィンドウを表示する。その裏でバイナリは正規のWindowsプロセスである「svchost.exe」を模倣した名称「svchost32」としてサービス化される。
サービス化されたCornFlakeは、暗号化通信チャネルを介してC2サーバーと通信し、キーロガーによるすべてのキー入力情報の収集、クリップボード監視、スクリーンショット撮影、WASAPIを利用した録音、Webカメラによる映像監視、Webブラウザ認証情報の取得、ファイルの転送、USBメモリの監視など、さまざまなスパイ活動を行なう。
さらに攻撃者は、メモリ上で配信/実行するPowerShellベースの資格情報窃盗ツール「ChocoShell」も投入する。ChocoShellはAI支援によるコード生成を利用して作成されたとみられており、防御回避、C2通信、権限昇格、認証情報とセッションの窃盗、データの外部送信およびクリーンナップを行なう。
一方、攻撃者が利用するのが「FruitStone」と呼ばれるパネルで、侵害したエンドポイントの管理、新しいキャンペーンペイロードの構築と展開、収集されたすべてのデータの確認のためのダッシュボードを提供しているという。
Microsoftは、ホテル、会議場、空港といった公共Wi-Fiは基本的に信頼できないものとして扱うべきで、可能な限りプライベートな接続手段を優先するよう推奨している。また、公共Wi-Fi接続時に提示される不審なWebプロンプトやソフトウェアアップデート、証明書のダウンロード指示には従わないよう注意している。
