Російські кіберзлочинці зламують готельні Wi-Fi мережі: операція CaptiveCrunch | CyberCalm

Наталя ЗарудняНаталя ЗарудняГоловний редакторГоловна редакторка та засновниця CyberCalm. Має понад 10-річний досвід роботи у сфері кібербезпеки та технологічної журналістики. Спеціалізується на темах захисту даних, мобільної безпеки, штучного інтелекту та соціальних мереж.Стежити: 04.08.2026 Поділитись 13 хв. читання

Microsoft Threat Intelligence надала детальну інформацію про шпигунську операцію CaptiveCrunch. У рамках цієї операції група, пов’язана з російською зовнішньою розвідкою, компрометує гостьові Wi-Fi-мережі в готелях та конференц-центрах по всьому світу. Оволодівши контролем над пристроями captive-порталу — тією сторінкою, через яку гості отримують доступ до мережі, — зловмисники модифікують DNS- та HTTP-трафік усіх підключених пристроїв. Вони перенаправляють користувачів на імітовані сторінки входу Microsoft 365 та розповсюджують шкідливе програмне забезпечення під виглядом оновлень браузера.

Зміст

• Ключові висновки дослідників
• Загроза від одного зламаного шлюзу для всіх користувачів
• Фальшиві оновлення та техніка ClickFix
• Використання аутентифікації через код пристрою
• Присутність штучного інтелекту
• Причини початкових підозр щодо інших груп
• Значення для України
• Рекомендації щодо захисту
• Запитання та відповіді

Ключові висновки дослідників

Компанія оприлюднила звіт про цю кампанію 31 липня 2026 року. За даними Microsoft, з початку травня 2026 року група Storm-2945 маніпулює DNS- та HTTP-трафіком у мережах, що обслуговуються captive-порталами, перенаправляючи його через власну інфраструктуру. Microsoft відносить Storm-2945 до підрозділу Midnight Blizzard, який уряди США та Великої Британії пов’язують зі Службою зовнішньої розвідки росії (СЗР). Ця група також відома під назвами APT29, Cozy Bear та The Dukes.

Вперше про ці атаки повідомила компанія ReliaQuest у своєму звіті від 23 липня. Дослідники зафіксували скомпрометовані шлюзи в кількох містах США, а також в Індії та Саудівській Аравії, переважно в готелях та закладах гостинності. Трафік через ці шлюзи надходив від організацій фінансового, юридичного, професійного, медичного, енергетичного та роздрібного секторів. Це свідчить про відсутність специфічного галузевого добору; метою були відряджені працівники, незалежно від місця їхнього підключення.

Точний механізм проникнення зловмисників в обладнання досі не встановлено. ReliaQuest з різним ступенем впевненості припускає, що початковий доступ було отримано через доступні в інтернеті інтерфейси управління (SSH, SNMP та вебконсолі адміністратора) у поєднанні зі слабкими або повторно використаними паролями адміністраторів. Microsoft, у свою чергу, відзначає спільні характеристики обладнання та систем управління в різних уражених мережах. Це може свідчити про те, що мова йде не про поодинокі випадки злому окремих закладів, а про доступ до загальних сервісів у межах екосистеми captive-порталів.

Загроза від одного зламаного шлюзу для всіх користувачів

Небезпека таких пристроїв полягає в їхньому розташуванні в мережі. Captive-портал розташований на периметрі мережі та обслуговує кожного гостя. Компрометація одного такого пристрою дозволяє перенаправляти трафік усіх, хто підключився до мережі того дня, без будь-якого фізичного доступу до ноутбуків і смартфонів, без фішингових листів чи переходів за посиланнями.

Механізм дії простий. Коли пристрій підключається до мережі, він отримує IP-адресу DNS-сервера через DHCP і довіряє його відповідям. Контроль над DNS означає контроль над тим, куди насправді прямує трафік. Зловмисники налаштували підміну DNS-відповідей: запити до легітимних доменів повертали IP-адреси серверів, що контролюються ними. Це, по суті, класична атака «людина посередині», реалізована на рівні мережевого обладнання.

Важливий нюанс: жорстко прописаний у налаштуваннях публічний DNS, наприклад 8.8.8.8, не забезпечує захисту. Запит все одно виходить із пристрою у відкритому вигляді, і шлюз може його перехопити, модифікувати та перенаправити. За оцінками ReliaQuest, атаку зупиняють лише дві конфігурації: постійно активний VPN у режимі повного тунелювання, який направляє в захищений канал також DNS-запити, або шифрований DNS (DoH чи DoT) у суворому режимі, без можливості відкату до незашифрованих запитів.

Приблизно в третині випадків дослідники також спостерігали додатковий канал перенаправлення — зловживання механізмом WPAD, який у Windows автоматично шукає налаштування проксі-сервера під час підключення до мережі. Якщо цей механізм спрацьовує, трафік більшості програм, а не тільки автентифікаційний, спрямовується через проксі-сервер зловмисника.

Фальшиві оновлення та техніка ClickFix

Другим напрямком кампанії є доставка шкідливого програмного забезпечення. Браузери та операційні системи автоматично перевіряють доступність інтернету, звертаючись до службових адрес. Саме на ці перевірки зловмисники відповідали сторінкою, що пропонувала встановити оновлення браузера або системи. Далі використовувалася техніка ClickFix: користувачеві відображалася нібито невдала перевірка безпеки та покрокова інструкція, як «виправити» проблему. Насправді ж, це змушувало користувача самостійно виконати шкідливу команду. Microsoft зазначає, що деякі такі сторінки містили інструкції для Android із завантаженням APK-файлу, що наражало на ризик і власників смартфонів.

Кампанія спирається на три основні інструменти:

• CornFlake — повнофункціональний RAT (віддалений доступ до трояна) для Windows, написаний мовою Go. При запуску відображає переконливе вікно «встановлення оновлень», одночасно копіюючи себе в систему та закріплюючись кількома способами: як служба Windows, через ключ автозапуску в реєстрі, заплановане завдання та процес-сторож, що відновлює видалені механізми стійкості. Він маскується під легітимний svchost.exe та реєструється як «Cloud Sync Service». Має функціонал для логування натискань клавіш, моніторингу буфера обміну, створення скріншотів, запису аудіо з мікрофона та відео з веб-камери, викрадення паролів та cookie з браузерів, завантаження файлів за заданими розширеннями, реакції на підключення USB-носіїв та надання віддаленої командної оболонки оператору.
• ChocoShell — викрадач даних на PowerShell, який працює виключно в оперативній пам’яті. Його завдання — масовий збір сесійних cookie, збережених паролів, токенів єдиного входу Microsoft 365 і навіть паролів від Wi-Fi-мереж. Перед виконанням він вимикає інтерфейс сканування AMSI, перевіряє, чи не запущений він у середовищі пісочниці, і використовує три різні техніки обходу контролю облікових записів (UAC) з послідовним відкатом.
• FruitStone — веб-панель управління, через яку оператори бачать усі скомпрометовані пристрої, згруповані за країнами та підмережами, надсилають їм команди та збирають отримані дані. Для маскування панель оформлена як «CloudSync Console» вигаданої компанії Acuity Systems.

Використання аутентифікації через код пристрою

З 16 липня Microsoft відстежує, як частина шкідливих сторінок CaptiveCrunch перенаправляє жертв на сценарій аутентифікації за кодом пристрою (device code flow). Це легітимний механізм OAuth, розроблений для пристроїв, на яких незручно або неможливо ввести логін і пароль, наприклад, телевізорів, ігрових консолей, IoT-пристроїв.

Схема зловживання виглядає наступним чином: зловмисник ініціює запит на аутентифікацію від імені користувача, а потім переконує жертву ввести отриманий код на справжній сторінці входу Microsoft. Користувач бачить легітимний домен, вводить код, підтверджує вхід другим фактором автентифікації, і фактично авторизує чужу сесію. Зловмисник отримує дійсні токени OAuth і доступ до Microsoft 365, який вже пройшов перевірку багатофакторної автентифікації (MFA). Для цього не потрібно викрадати пароль чи перехоплювати зашифрований трафік.

Сама техніка не є новою — Midnight Blizzard використовує її щонайменше з серпня 2024 року. Однак, як зазначає Microsoft, інтеграція фішингу за кодом пристрою в скомпрометований captive-портал підвищує ймовірність того, що користувач сприйме запит на аутентифікацію як легітимний, адже він щойно підключився до мережі готелю й очікує на додаткові кроки для входу.

Присутність штучного інтелекту

Microsoft окремо наголошує, що Storm-2945 використовує ШІ для значної частини цих операцій. Скрипт ChocoShell написаний з розгорнутими коментарями розробника, які пояснюють логіку кожного рішення та прямо посилаються на конкретні сигнатури виявлення Microsoft. Послідовний стиль коду та описовий характер коментарів, на думку аналітиків, свідчать про ймовірне використання ШІ для генерації коду. У подяках до звіту Microsoft згадує співпрацю з Anthropic та OpenAI під час розслідування.

Причини початкових підозр щодо інших груп

У своєму липневому звіті ReliaQuest вказувала на подібність тактик із діяльністю APT28 (Fancy Bear, Forest Blizzard) — підрозділу російської військової розвідки, але прямої атрибуції не надавала. Підставою для порівняння слугувало те, що у квітні 2026 року Microsoft опублікувала розслідування про кампанію Forest Blizzard, яка компрометувала домашні та малі офісні маршрутизатори, переналаштовуючи їх на керовані DNS-сервери. Тоді йшлося про понад 200 організацій та близько 5000 споживчих пристроїв.

Проте ReliaQuest одразу зазначала й відмінності: атаки на captive-портали готелів раніше не фіксувалися, інфраструктура не збігалася з відомою, а весь DNS-трафік перенаправлявся без вибіркової фільтрації за ключовими словами. Microsoft, маючи ширшу телеметрію, зрештою віднесла кампанію до Storm-2945, незважаючи на окремі збіги в тактиках з Forest Blizzard. Різниця є принциповою: Forest Blizzard діє на користь військової розвідки (ГРУ), тоді як Midnight Blizzard — на користь СЗР.

Значення для України

Midnight Blizzard традиційно полює на державні структури, дипломатичні установи, неурядові організації та ІТ-компанії у США та Європі. Це саме ті категорії, до яких належать українські делегації, представники громадського сектору, журналісти та підприємці, які відвідують конференції та ділові зустрічі за кордоном. Готельний Wi-Fi під час закордонних відряджень — це саме той сценарій, під який ця кампанія і була розроблена.

Додатковий ризик полягає в тому, що атака не потребує жодної помилки з боку жертви на етапі підключення: достатньо просто приєднатися до мережі закладу. Тому базові рекомендації щодо безпечного використання публічного Wi-Fi в цьому випадку слід доповнювати технічними заходами на рівні пристрою та корпоративної політики.

Рекомендації щодо захисту

Для особистих користувачів та мандрівників:

• За можливості використовуйте мобільний інтернет — особисту точку доступу зі смартфона або eSIM — замість готельного чи конференційного Wi-Fi.
• Ніколи не встановлюйте оновлення браузера, операційної системи, сертифікати чи «діагностичні утиліти», які пропонуються сторінкою підключення до мережі. Легітимні оновлення ніколи не надходять через captive-портал.
• Ігноруйте будь-які інструкції типу «скопіюйте цю команду та вставте її у вікно виконання», навіть якщо сторінка виглядає як перевірка Cloudflare чи Google. Це є ознакою ClickFix.
• Не використовуйте корпоративні логін та пароль для реєстрації на сторінці гостьової мережі.
• Перед введенням будь-яких облікових даних перевіряйте адресу та сертифікат сторінки, і не ігноруйте попередження браузера про недійсний сертифікат.
• Увімкніть вхід за допомогою парольних ключів (passkeys), де це можливо, та двофакторну автентифікацію — скрізь.

Для організацій:

• Впровадьте постійно активний VPN у режимі повного тунелювання на корпоративних пристроях та вилучіть винятки split-tunneling, які дозволяють DNS- або автентифікаційному трафіку обходити тунель.
• Заблокуйте сценарій аутентифікації за кодом пристрою через політики умовного доступу Microsoft Entra ID, де він не потрібен.
• Вимкніть WPAD там, де автоматичне визначення проксі-сервера не використовується.
• Проаналізуйте, яку інформацію працівники надають на реєстраційних сторінках гостьових мереж, та мінімізуйте розкриття посад та організаційної приналежності під час бронювання.
• Проведіть інструктаж щодо сценаріїв ClickFix: підроблені перевірки безпеки, фальшиві помилки, інструкції «вставте та запустіть».
• Налаштуйте політики ризику входу та безперервну оцінку доступу для автоматичного реагування на підозрілі сесії.

Запитання та відповіді

Що таке captive-портал і чому він є небезпечним?

Це сторінка, яка з’являється під час підключення до публічної Wi-Fi-мережі та вимагає прийняття умов або введення даних для входу. Пристрій, що обслуговує його, контролює DNS та маршрутизацію для всіх гостей мережі. Тому злом одного такого пристрою надає зловмиснику можливість перенаправляти трафік кожного підключеного користувача — без доступу до самих пристроїв користувачів.

Чи допоможе VPN проти цієї атаки?

Так, але лише за умови використання повного тунелювання та автоматичного ввімкнення при підключенні до мережі. Якщо VPN працює в режимі роздільного тунелювання, і DNS-запити обходять його, захист не буде забезпечено. Публічні DNS-сервери, такі як 8.8.8.8, самі по собі не рятують, оскільки запит все одно залишає пристрій незашифрованим.

Як зрозуміти, що пристрій вже інфікований?

Ознаками можуть бути наявність невідомої служби з назвою «Cloud Sync Service», підозріле заплановане завдання, файл svchost32.exe у профілі користувача або несподівані запити на підвищення привілеїв. Корпоративним користувачам слід негайно звернутися до служби ІТ-безпеки, змінити паролі та завершити всі активні сесії — токени доступу залишаються дійсними навіть після зміни пароля.

Чи були зафіксовані атаки в Україні?

Microsoft та ReliaQuest не публікували детального переліку постраждалих країн; йдеться про «кілька країн», а серед підтверджених локацій згадуються міста США, Індія та Саудівська Аравія. Ризик для українців пов’язаний насамперед із закордонними відрядженнями та участю в міжнародних заходах.

Будь ласка, залиште це поле порожнім

Вітаємо!
Раді знайомству!

Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.

Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.

ТЕГИ:ClickFixwifiкібератакиросійські хакеришкідливе програмне забезпечення Поділитися Facebook Threads Копіювати посилання Друк Попередня публікація Як знайти та відкрити будь-який файл за допомогою командного рядка: cmd, PowerShell і Термінал Windows Наступна публікація Нові правила прозорості ШІ в ЄС: чат-боти мають попереджати про себе, а дипфейки – маркуватися

Популярні

Комбінації клавіш у Windows 11: повний довідник

18.08.2026

ШІ визначає місце зйомки фотографії у 9 випадках із 10 — і шахраї вже будують на цьому фішинг

17.08.2026

Apple виправила майже 30 вразливостей в iOS 26.6.1 та macOS Tahoe 26.6.2 — третє оновлення безпеки за три тижні

18.08.2026

Як змінити обліковий запис Google за замовчуванням на Android

16.08.2026

Російські хакери компрометують облікові записи через OAuth та прив’язку пристроїв у WhatsApp

21.08.2026

Рекомендовано

Приватність

Сексторшн: ФБР попереджає про викрадення інтимних фото — 6 способів захисту

13.08.2026 Кібербезпека

Сотні повідомлень за хвилину: що таке SMS-бомбінг і як від нього захиститися

13.08.2026 Новини

Chrome блокуватиме розширення, які змінюють вкладку за замовчуванням та пошук через корпоративні політики

03.08.2026 Кібербезпека

Достатньо відкрити електронний лист: російські хакери компрометують корпоративну пошту через вразливість в Outlook Web Access

30.07.2026

Джерело