Nechvalně známá ruská skupina APT29, známá také jako SVR, Nobelium, Cozy Bear nebo APT29, stojí podle Microsoft Threat Intelligence za novými útoky, které cílí na cestovatele. V ohrožení jsou přitom lidé na služebních i soukromých cestách, respektive jejich zařízení. Útočníci se zaměřují na bezdrátové připojení v hotelech, veřejných prostranstvích, ale také třeba na účastníky různých konferencí. Místo nastražení falešných wi-fi sítí tak hackeři při tomto útoku získají přístup ke skutečným portálům pro přihlášení hotelů a vyzvou uživatele ke stažení souborů pod záminkou aktualizací prohlížeče nebo operačního systému. Co se děje při útoku nejen přes hotelové wi-fi Útočníci od letošního května nabourávají do wi-fi sítí určených pro hosty. Jakmile se cestující připojí k wi-fi, jeho počítač provede automatickou kontrolu připojení, což je běžný postup, který provádějí všechny systémy. V průběhu toho nabídnou útočníci uživateli falešné aktualizace prohlížeče nebo operačního systému. Poté se pomocí nástroje ClickFix snaží přesvědčit uživatele, aby si stáhl a spustil trojský kůň pro vzdálený přístup zvaný „Cornflake“, případně další s názvem „ChocoShell“, což je software pro krádež dat, který se také snaží vypnout některé funkce antivirových programů. Pro Windows hackeři používají odlišné pokyny, než pro útoky na zařízení s operačním systémem Android, kde chtějí uživatele přesvědčit ke stažení instalačních souborů (APK). Okno malwaru ClickFix s výzvou pro uživatele Je třeba si uvědomit, že tyto útoky závisí na sociálním inženýrství a následné interakci uživatelů, aby uspěly. Další okno malwaru ClickFix s výzvou pro uživatele Prostřednictvím výše uvedeného malwaru může útočník ukrást přihlašovací údaje, stejně jako shromažďovat informace zapsané na klávesnici, snímky obrazovky a další citlivé údaje. Útok, který Microsoft označuje jako CaptiveCrunch, zneužívá přihlašovací stránky wi-fi (captive portály), s nimiž se hosté setkávají v hotelech a dalších ubytovacích zařízeních. Podle společnosti hackeři manipulují s DNS a HTTP provozem v rámci napadených sítí a přesměrovávají uživatele přes infrastrukturu ovládanou útočníky. Jak uvádí Microsoft, tato kampaň primárně cílí na firemní cestující, kteří používají Microsoft 365, protože přesměrovávají uživatele na falešné přihlašovací stránky Microsoft 365. Nejčastěji na ni firma narazila mimo státy EU. Falešná aktualizace sytému při útoku CaptiveCrunch přes veřejné wi-fi. Jak se bránit Pokud se na cestách připojujete k některé z veřejných wi-fi sítí na hotelu, letišti, na konferenci a dalších místech, je třeba se mít vždy na pozoru. Obecně je lepší vyhýbat se veřejným wi-fi sítím a místo toho používat mobilní hotspot, ke kterému můžete třeba využít na místě koupenou datovou SIM. Nikdy také nestahujte aktualizace, které se zobrazují na přihlašovací stránce wi-fi sítě. Vyplatí se také používat vícefaktorové ověřování (MFA) pro přístup ke svým službám. Měli byste se také vyvarovat zadávání osobních a firemních hesel do přihlašovacích portálů sítí.