Microsoft Threat Intelligence оприлюднила деталі шпигунської кампанії CaptiveCrunch, у межах якої повʼязане з російською зовнішньою розвідкою угруповання зламує гостьові Wi-Fi-мережі готелів і конференц-центрів по всьому світу. Отримавши контроль над обладнанням captive-порталу — тієї самої сторінки, через яку гість підключається до мережі, — зловмисники підміняють DNS- і HTTP-трафік усіх підʼєднаних пристроїв, перенаправляють користувачів на підроблені сторінки входу Microsoft 365 і підсовують шкідливе ПЗ під виглядом оновлень браузера.
Що саме виявили дослідники
Компанія оприлюднила звіт про кампанію 31 липня 2026 року. За даними Microsoft, щонайменше з початку травня 2026 року угруповання Storm-2945 маніпулює DNS- та HTTP-трафіком у мережах, які обслуговуються captive-порталами, і перенаправляє його через власну інфраструктуру. Компанія відносить Storm-2945 до підрозділів Midnight Blizzard — актора, якого уряди США та Великої Британії повʼязують зі Службою зовнішньої розвідки росії (СЗР). Це угруповання також відоме як APT29, Cozy Bear і The Dukes.
Публічно про атаки першою повідомила компанія ReliaQuest — її звіт вийшов 23 липня. Дослідники зафіксували зламані шлюзи в кількох містах США, а також в Індії та Саудівській Аравії — переважно в готелях і закладах гостинності. Трафік через ці шлюзи йшов від організацій фінансового, юридичного, професійного, медичного, енергетичного та роздрібного секторів, тобто цілеспрямованого галузевого добору не було: полювали на працівників у відрядженнях, хоч би де вони підключалися.
Як саме зловмисники потрапляли всередину обладнання, остаточно не встановлено. ReliaQuest із низьким і середнім рівнем упевненості припускає, що початковий доступ давали відкриті в інтернет інтерфейси керування — SSH, SNMP і вебконсолі адміністратора — у поєднанні зі слабкими або повторно використаними адміністраторськими паролями. Microsoft, зі свого боку, зазначає, що в різних уражених мережах виявила спільні риси в обладнанні та системах керування. Це може означати, що йдеться не про поодинокі зломи окремих закладів, а про доступ до спільних сервісів усередині екосистеми captive-порталів.
Один зламаний шлюз — усі гості під загрозою
Небезпека цього класу пристроїв — у їхньому положенні в мережі. Captive-портал стоїть на периметрі й обслуговує кожного гостя. Достатньо скомпрометувати один такий пристрій, щоб перенаправляти трафік усіх, хто того дня підключився до мережі, — без жодного дотику до самих ноутбуків і смартфонів, без фішингового листа й без переходу за посиланням.
Механіка проста. Коли пристрій приєднується до мережі, він отримує через DHCP адресу DNS-сервера й довіряє його відповідям. Хто контролює DNS — той визначає, куди насправді піде трафік. Зловмисники налаштували підміну DNS-відповідей: запити до легітимних доменів поверталися з IP-адресами підконтрольних їм серверів. Це, по суті, класична атака «людина посередині», лише реалізована на рівні мережевого обладнання.
Важливий нюанс: жорстко прописаний у налаштуваннях публічний DNS на кшталт 8.8.8.8 від цього не рятує. Запит усе одно виходить із пристрою у відкритому вигляді, і шлюз може його прочитати, підмінити й перенаправити. За оцінкою ReliaQuest, атаку зупиняють лише дві конфігурації: постійно ввімкнений VPN у режимі повного тунелю, який заганяє в захищений канал і DNS-запити теж, або шифрований DNS (DoH чи DoT) у суворому режимі — без відкату до незашифрованих запитів.
Приблизно в третині випадків дослідники бачили й додатковий канал перенаправлення — зловживання механізмом WPAD, який у Windows автоматично шукає налаштування проксі при підключенні до мережі. Якщо він спрацьовує, через проксі зловмисника йде трафік більшості застосунків, а не лише автентифікаційний.
Фальшиві оновлення браузера й техніка ClickFix
Другий напрям кампанії — доставка шкідливого ПЗ. Браузери й операційні системи автоматично «пінгують» службові адреси, щоб перевірити, чи є доступ до інтернету. Саме на ці перевірки зловмисники відповідали сторінкою з пропозицією встановити оновлення браузера або системи. Далі в хід ішла техніка ClickFix: користувачеві показують нібито невдалу перевірку безпеки й покрокову інструкцію, як «полагодити» проблему, — а насправді змушують власноруч запустити шкідливу команду. Microsoft зазначає, що деякі такі сторінки містили й інструкції для Android із завантаженням APK-файлу, тож власники смартфонів теж були в зоні ризику.
Кампанія спирається на три основні інструменти:
- CornFlake — повнофункціональний RAT для Windows, написаний мовою Go. Під час запуску показує переконливе вікно «встановлення оновлень», а тим часом копіює себе в систему й закріплюється одразу кількома способами: службою Windows, ключем автозапуску в реєстрі, запланованим завданням і сторожовим процесом, який відновлює видалені механізми persistence. Маскується під легітимний svchost.exe і реєструється як «Cloud Sync Service». Уміє вести журнал натискань клавіш, стежити за буфером обміну, робити знімки екрана, записувати звук із мікрофона й відео з вебкамери, красти паролі та cookie з браузерів, викачувати файли за заданими розширеннями, реагувати на підʼєднання USB-носіїв і давати оператору віддалену командну оболонку.
- ChocoShell — викрадач даних на PowerShell, який працює виключно в памʼяті. Його завдання — масово збирати сесійні cookie, збережені паролі, токени єдиного входу Microsoft 365 і навіть паролі від Wi-Fi-мереж. Перед роботою вимикає інтерфейс сканування AMSI, перевіряє, чи не запущений він у пісочниці, і застосовує три різні техніки обходу контролю облікових записів (UAC) з послідовним відкатом.
- FruitStone — вебпанель керування, через яку оператори бачать усі заражені пристрої, згруповані за країнами й підмережами, роздають їм команди й збирають здобуті дані. Для маскування панель оформлена як «CloudSync Console» вигаданої компанії Acuity Systems.
Зловживання автентифікацією за кодом пристрою
Із 16 липня Microsoft спостерігає, як частина шкідливих сторінок CaptiveCrunch перенаправляє жертв до сценарію автентифікації за кодом пристрою (device code flow). Це легітимний механізм OAuth, розроблений для пристроїв, на яких незручно або неможливо ввести логін і пароль, — телевізорів, консолей, IoT-обладнання.
Схема зловживання виглядає так: зловмисник ініціює запит на автентифікацію від імені користувача, а потім переконує жертву ввести отриманий код на справжній сторінці входу Microsoft. Користувач бачить легітимний домен, вводить код, підтверджує вхід другим фактором — і фактично авторизує чужу сесію. Зловмисник отримує дійсні токени OAuth і доступ до Microsoft 365, який уже пройшов перевірку MFA. Ані красти пароль, ані перехоплювати зашифрований трафік для цього не потрібно.
Сама техніка не нова — Midnight Blizzard застосовує її щонайменше з серпня 2024 року. Але, як зазначає Microsoft, вбудовування фішингу за кодом пристрою в захоплений captive-портал підвищує шанси, що користувач сприйме запит на автентифікацію як легітимний: адже він щойно підключився до мережі готелю й очікує якихось додаткових кроків для входу.
Слід штучного інтелекту
Окремо Microsoft наголошує, що Storm-2945 використовує ШІ для значної частини цих операцій. Скрипт ChocoShell написаний із розгорнутими коментарями розробника, які пояснюють логіку кожного рішення й прямо посилаються на конкретні сигнатури виявлення Microsoft. Послідовний стиль коду та описовий характер коментарів, на думку аналітиків, свідчать про ймовірне використання ШІ для генерації коду. У подяках до звіту Microsoft згадує співпрацю з Anthropic та OpenAI під час розслідування.
Чому спершу підозрювали інше угруповання
ReliaQuest у липневому звіті вказувала на схожість тактик із діяльністю APT28 (Fancy Bear, Forest Blizzard) — підрозділу російської воєнної розвідки, але прямої атрибуції не давала. Підстава для порівняння була: у квітні 2026 року Microsoft опублікувала розслідування про кампанію Forest Blizzard, яка зламувала домашні та малоофісні роутери й переналаштовувала їх на підконтрольні DNS-сервери. Тоді йшлося про понад 200 організацій і близько 5000 споживчих пристроїв.
Проте ReliaQuest одразу зазначала й розбіжності: атаки на captive-портали готелів раніше не фіксувалися, інфраструктура не збігалася з відомою, а перенаправлявся весь DNS-трафік без вибіркової фільтрації за ключовими словами. Microsoft, маючи ширшу телеметрію, у підсумку віднесла кампанію до Storm-2945 — попри окремі збіги в тактиках із Forest Blizzard. Різниця принципова: Forest Blizzard працює на воєнну розвідку (гру), тоді як Midnight Blizzard — на СЗР.
Що це означає для українців
Midnight Blizzard традиційно полює на державні структури, дипломатичні установи, неурядові організації та ІТ-компанії у США та Європі — тобто саме на ті категорії, до яких належать українські делегації, представники громадського сектору, журналісти й підприємці, що виїжджають на конференції та ділові зустрічі за кордон. Готельний Wi-Fi під час закордонного відрядження — це рівно той сценарій, під який кампанію й будували.
Додатковий ризик створює те, що атака не потребує жодної помилки з боку жертви на етапі підключення: достатньо приєднатися до мережі закладу. Тому базові поради щодо безпечного користування публічним Wi-Fi у цьому випадку потрібно доповнювати технічними заходами на рівні пристрою та корпоративної політики.
Як захиститися
Особистим користувачам і мандрівникам:
- За змоги користуйтеся мобільним інтернетом — власною точкою доступу зі смартфона або eSIM — замість готельного чи конференційного Wi-Fi.
- Ніколи не встановлюйте оновлення браузера, системи, сертифікати чи «діагностичні утиліти», які пропонує сторінка підключення до мережі. Легітимні оновлення ніколи не приходять через captive-портал.
- Ігноруйте будь-які інструкції на кшталт «скопіюйте цю команду й вставте у вікно виконання», навіть якщо сторінка виглядає як перевірка Cloudflare чи Google. Це і є ClickFix.
- Не використовуйте корпоративні логін і пароль для реєстрації на сторінці гостьової мережі.
- Перевіряйте адресу й сертифікат сторінки, перш ніж вводити будь-які облікові дані, і не ігноруйте попередження браузера про недійсний сертифікат.
- Увімкніть безпарольний вхід (passkeys) там, де це можливо, і двофакторну автентифікацію — скрізь.
Організаціям:
- Запровадьте постійно ввімкнений VPN у режимі повного тунелю на корпоративних пристроях і приберіть винятки split-tunneling, які дозволяють DNS- або автентифікаційному трафіку оминати тунель.
- Заблокуйте сценарій автентифікації за кодом пристрою через політики умовного доступу Microsoft Entra ID скрізь, де він не потрібен.
- Вимкніть WPAD там, де автоматичне визначення проксі не використовується.
- Перегляньте, які дані працівники залишають на реєстраційних сторінках гостьових мереж, і мінімізуйте розкриття посад та організаційної належності під час бронювання.
- Проведіть інструктаж щодо ClickFix-сценаріїв: підроблені перевірки безпеки, фальшиві помилки, інструкції «вставте і запустіть».
- Налаштуйте політики ризику входу та безперервну оцінку доступу, щоб автоматично реагувати на підозрілі сесії.
Питання та відповіді
Що таке captive-портал і чому він небезпечний?
Це сторінка, яка відкривається під час підключення до публічної Wi-Fi-мережі й вимагає прийняти умови або ввести дані для входу. Пристрій, який її обслуговує, керує DNS і маршрутизацією для всіх гостей мережі. Тому злом одного такого пристрою дає зловмиснику можливість перенаправляти трафік кожного, хто підключився, — без доступу до самих пристроїв користувачів.
Чи допоможе VPN проти цієї атаки?
Так, але лише за умови повного тунелю й автоматичного ввімкнення при підключенні до мережі. Якщо VPN працює в режимі роздільного тунелювання і DNS-запити йдуть повз нього, захисту не буде. Публічні DNS-сервери на кшталт 8.8.8.8 самі собою не рятують, бо запит однаково залишає пристрій незашифрованим.
Як зрозуміти, що пристрій уже заражений?
Ознаками можуть бути невідома служба з назвою «Cloud Sync Service», підозріле заплановане завдання, файл svchost32.exe у профілі користувача або несподівані запити на підвищення прав. Корпоративним користувачам варто одразу звернутися до служби ІТ-безпеки, змінити паролі й завершити всі активні сесії — токени доступу залишаються дійсними навіть після зміни пароля.
Чи були зафіксовані атаки в Україні?
Microsoft і ReliaQuest не публікували переліку постраждалих країн із поіменною деталізацією; ідеться про «кілька країн», а серед підтверджених локацій згадуються міста США, Індія та Саудівська Аравія. Ризик для українців повʼязаний насамперед із закордонними відрядженнями та участю в міжнародних заходах.
