Исследователи из ReliaQuest обнаружили кампанию, участники которой взламывают Wi-Fi-шлюзы в гостиницах и конференц-центрах. Атакующие меняют настройки DNS и перенаправляют постояльцев и участников корпоративных мероприятий на поддельные страницы входа в Microsoft 365.
Скомпрометированные шлюзы были обнаружены в нескольких городах США, а также в Индии, Саудовской Аравии и других странах. Аналитики полагают, что эта кампания длится как минимум с июня 2026 года.
Взломанные сети Wi-Fi использовали сотрудники организаций из финансового, юридического, медицинского, энергетического и розничного секторов, а также компаний, оказывающих профессиональные услуги. По мнению специалистов, хакеры не нацеливались на конкретную отрасль, а атаковали сотрудников в командировках, которых можно попытаться скомпрометировать везде, где они используют Wi-Fi.
Как именно хакеры получают первоначальный доступ к Wi-Fi-шлюзам, пока неясно. Исследователи полагают, что вероятными векторами компрометации могут быть плохо защищенные и доступные через интернет интерфейсы управления, включая SSH, SNMP и веб-панели, либо эксплуатация уязвимостей.
После взлома учетной записи администратора хакеры изменяют настройки DNS, и в результате запросы к легитимным сервисам Microsoft перенаправляются в подконтрольную им инфраструктуру. Специалисты обнаружили как минимум четыре домена, которые использовались в этой кампании: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com и ms365-live[.]com.
Также в отчете отмечается, что в некоторых атаках хакеры задействовали Device Code Flow (механизм аутентификации по коду устройства): жертву перенаправляли на фальшивую страницу Microsoft и предлагали ей подтвердить запрос, который создавали сами злоумышленники. В случае подтверждения Microsoft выдавала легитимный OAuth-токен клиенту хакеров, что позволяло обойти многофакторную аутентификацию без кражи учетных данных и перехвата токена доступа.
Кроме того, примерно в трети изученных случаев злоумышленники пытались использовать Web Proxy Auto-Discovery (WPAD): они подменяли ответ на автоматический WPAD-запрос Windows и передавали системе вредоносный PAC-файл с настройками прокси. Теоретически это позволяло направить трафик приложений Windows через прокси атакующих, однако исследователи не смогли подтвердить успешность этих попыток.
Специалисты подчеркивают, что после получения доступа к аккаунту Microsoft 365, злоумышленники могут добраться до корпоративной переписки, внутренних документов и другой конфиденциальной информации.
По мнению аналитиков ReliaQuest, обнаруженная активность напоминает масштабную кампанию по компрометации роутеров FrostArmada, которую эксперты связывали с хак-группой APT28 (она же Fancy Bear, Forest Blizzard и Sofacy).
Для защиты от подобных атак в ReliaQuest рекомендуют постоянно использовать VPN в режиме full tunnel, а DNS-запросы передавать только через DoH или DoT. Администраторам советуют отключить WPAD, проверить логи на предмет подозрительной активности и запретить Device Code Flow в Microsoft Entra ID, если этот механизм не используется.
