Публичные сети Wi-Fi в отелях и аэропортах оказались под ударом. Microsoft Threat Intelligence зафиксировала глобальную хакерскую кампанию CaptiveCrunch. Хакеры взламывают роутеры общего пользования и перехватывают персональные данные постояльцев. В зоне риска банковские счета, корпоративные аккаунты и сами мобильные устройства туристов. Кампания затронула множество стран, так что путешественникам важно понимать, как действует эта схема и какие шаги помогут защититься.
Как работает CaptiveCrunch
Хакеры не атакуют напрямую телефоны или ноутбуки. Все манипуляции происходят с интернет-трафиком на роутерах гостиниц. Излюбленная цель — captive portals, то есть стартовые страницы приветствия. Такие страницы есть в отелях и аэропортах. Гость подключается к сети, видит окно с полями для номера комнаты, фамилии или e-mail и вводит эти данные. Вот на этом этапе хакеры и перехватывают управление. Они подменяют страницу, поэтому гость сам передает им нужные сведения.
У хакеров есть несколько схем атаки. Первая — подмена стартовой страницы полностью. Вместо привычного окна отеля человек видит точную копию системного диалога Windows или Google в зависимости от устройства. На экране появляется надпись «Идет установка критических обновлений Windows», уведомление о вирусной угрозе от Windows Defender, требование обновить DirectX или браузер. Встречается и поддельное сообщение Google: «Ваш трафик подозрителен, пройдите верификацию». Все это выглядит узнаваемо, поэтому у человека не возникает сомнений. Системные уведомления выглядят стандартно: с логотипами, кнопками и привычными текстами.
Вторая схема — показ фальшивых всплывающих окон, внешне похожих на оригинальные. Они возникают уже после подключения, в любой момент работы в сети. Если человек соглашается на «обновление», на устройство устанавливается вредоносное шпионское ПО. Оно умеет создавать скриншоты, фиксировать нажатия клавиш, включать микрофон и камеру без ведома владельца. Программа также вытаскивает из браузеров пароли, платежные куки и цифровые токены авторизации. После этого хакеры получают контроль над мобильным устройством.
Что и зачем похищают хакеры
Добыча — доступ к банковским счетам, пароли от корпоративных аккаунтов и полный контроль над мобильными устройствами туристов. После заражения хакеры могут перенаправлять жертву на поддельные страницы входа в корпоративные сервисы. Например, ввод данных от Microsoft 365 открывает доступ к почте и файлам на OneDrive.
Под угрозой находится любое место, где есть бесплатный captive-интернет. Это отели, аэропорты и другие точки доступа с открытой сетью. Пока постоялец пользуется такой сетью, его личные данные под прицелом. Хакерам не нужно ломать защиту телефона или компьютера, достаточно скомпрометировать роутер, через который проходит весь трафик.
Как защититься в поездке
Специалисты предупреждают: под угрозой находится любое пространство с бесплатным captive-интернетом. К нему относятся отели, аэропорты и другие места, где доступ к сети открывается через стартовую страницу. Рекомендуется просто закрывать любые всплывающие окна, где говорится о необходимости скачать или обновить программы при подключении к гостиничному Wi-Fi. Настоящие отельные сети никогда не просят что-либо устанавливать.
Если окно все же появилось, это признак атаки, а не технической проблемы. Его нужно закрыть; нажимать кнопки и вводить данные не следует. Внимательность к системным уведомлениям — самый простой способ избежать заражения.
