Hotelowe Wi-Fi to pułapka. Jak się przed nią bronić w 2024 roku

Hotelowe Wi-Fi jest aktywnie wykorzystywane przez rosyjską grupę Midnight Blizzard do przejmowania urządzeń podróżnych pracowników firm, ujawnił raport Microsoftu w 2024 roku. To nie jest już problem wolnego łącza czy dziwnych przekierowań — to pełnoprawna kampania cyberataków, która zagrażająca szczególnie Polakom, którzy pracują zdalnie i często podróżują służbowo po Europie.

Jak działa operacja CaptiveCrunch

Midnight Blizzard wykorzystuje mechanizm captive portalów — tych wszystkich stron, które wyskakują po podłączeniu do hotelowego Wi-Fi i proszą o numer pokoju, nazwisko albo kliknięcie „Accept”. Atakujący przejmują kontrolę nad tym procesem i podmieniają prawdziwe strony logowania na fałszywe, które wyglądają identycznie jak oryginał.

Gdy użytkownik kliknie w fałszywy przycisk, ruch sieciowy jest przekierowywany, a na ekranie pojawiają się komunikaty udające aktualizacje systemu lub przeglądarki. Te okna wyglądają dokładnie jak Windows Update czy aktualizacja Chrome’a. Midnight Blizzard nie próbuje oszukać użytkownika prymitywnymi sztuczkami — podszywają się pod system na poziomie, który sprawia, że nawet doświadczony użytkownik może się nabrać.

W hotelowych warunkach, gdzie sieć jest wolna, a system potrafi zachowywać się dziwnie, takie komunikaty nie budzą żadnych podejrzeń. Użytkownik klika, bo chce jak najszybciej wrócić do pracy.

Jakie złośliwe oprogramowanie instaluje Midnight Blizzard

Operacja CaptiveCrunch opiera się na dwóch kluczowych narzędziach: CornFlake i ChocoShell.

CornFlake — okno aktualizacji, które przejmuje komputer

CornFlake to złośliwe oprogramowanie napisane w Go, które po uruchomieniu wyświetla okno wyglądające jak natywna aktualizacja Windowsa, skanowanie Windows Defendera, instalator DirectX albo aktualizacja Chrome’a. W hotelowych warunkach takie komunikaty nie budzą żadnych podejrzeń.

Po zainstalowaniu CornFlake ukrywa się jako usługa o nazwie „Cloud Sync Service”, kopiuje się do katalogu APPDATA i tworzy kilka warstw trwałości. Potem zaczyna działać jak narzędzie do pełnej inwigilacji:

• przechwytuje klawiaturę, schowek i zrzuty ekranu,
• nagrywa audio i wideo z mikrofonu i kamery,
• kradnie hasła i ciasteczka z przeglądarek,
• monitoruje podłączane pendrive’y,
• przeszukuje dysk i wysyła pliki.

To narzędzie, które pozwala atakującemu obserwować użytkownika jak przez szybę, z pełnym dostępem do wszystkiego, co dzieje się na komputerze.

ChocoShell — kradzież danych w pamięci

Drugim elementem układanki jest ChocoShell — infostealer działający w pamięci. Jego zadanie jest proste: wyciągnąć wszystko, co da się wykorzystać do przejęcia kont użytkownika. ChocoShell potrafi:

• kraść ciasteczka sesyjne, hasła i tokeny Microsoft 365,
• wyciągać klucze szyfrowania z Chrome, Edge, Brave i Opery,
• omijać mechanizmy ABE w Chrome,
• pobierać tokeny logowania z Windowsa,
• zbierać hasła do sieci Wi-Fi.

ChocoShell nie musi instalować się na dysku — działa w pamięci, co utrudnia jego wykrycie. Część kodu zawiera komentarze sugerujące, że została wygenerowana przez AI, co pokazuje, że Midnight Blizzard nie tylko atakuje systemy oparte na sztucznej inteligencji, lecz także sam ją wykorzystuje do przyspieszenia pracy.

Kto jest celem Midnight Blizzard

Według Microsoftu celem są przede wszystkim podróżujący pracownicy firm, szczególnie ci z dostępem do zasobów korporacyjnych. Midnight Blizzard od lat poluje na organizacje rządowe, NGO, firmy technologiczne i podmioty z Europy oraz Stanów Zjednoczonych.

Jeśli pracujesz z hotelowego Wi-Fi, logujesz się do firmowego Outlooka, Teamsów czy OneDrive’a, a do tego masz włączone automatyczne aktualizacje przeglądarki — to jesteś dokładnie tym typem użytkownika, którego Midnight Blizzard chce dorwać. To nie jest atak na przeciętnego turystę, który sprawdza pogodę w Barcelonie. To atak na ludzi, którzy mają dostęp do danych, systemów i kont, które atakujący chcą przejąć.

Przejęcie laptopa pracownika w hotelu to dla nich idealny punkt wejścia — użytkownik jest poza bezpieczną siecią firmową, często pracuje w pośpiechu, a hotelowe Wi-Fi traktuje jako coś „tymczasowego”.

Phishing z użyciem legalnego mechanizmu Microsoftu

Część fałszywych stron w CaptiveCrunch kieruje użytkownika do logowania za pomocą kodu urządzenia. To legalny mechanizm Microsoftu, używany np. przez urządzenia bez pełnej przeglądarki. Problem w tym, że jeśli wpiszesz kod wygenerowany przez atakującego, to autoryzujesz jego sesję, nie swoją.

To phishing, który wygląda jak prawdziwe logowanie Microsoftu, z prawdziwym brandingiem i prawdziwym przepływem autoryzacji. W hotelowych warunkach — gdzie wszystko jest „tymczasowe” i „dziwne” — łatwo pomylić taki proces z czymś normalnym. Użytkownik widzi kod, wpisuje go na stronie Microsoftu, a potem wraca do pracy, nie wiedząc, że właśnie dał atakującemu dostęp do swojego konta.

Dlaczego Polacy są szczególnie narażeni

Microsoft nie podaje listy krajów, ale opis sugeruje, że ataki dotyczą wielu miejsc na świecie, a infrastruktura captive portalowa jest często wspólna dla sieci hotelowych w Europie. Polskie hotele korzystają z podobnych rozwiązań jak reszta świata, a Midnight Blizzard nie ma żadnych oporów przed działaniem na terenie UE.

Polacy są też grupą wyjątkowo mobilną — pracujemy zdalnie, latamy na konferencje, jeździmy na delegacje. W praktyce oznacza to, że jesteśmy dokładnie tym typem użytkowników, których Midnight Blizzard chce przejąć. Jeśli podróżujesz służbowo po Europie — do Berlina, Pragi, Londynu, a nawet Warszawy — szanse na zetknięcie się z podatną siecią są realne.

Element ataku	Funkcja	Zagrożenie
CaptiveCrunch	Fałszywe strony logowania do Wi-Fi	Przejęcie danych logowania, przekierowanie do złośliwego oprogramowania
CornFlake	Udawanie aktualizacji systemu	Instalacja backdoora, pełna inwigilacja urządzenia
ChocoShell	Kradzież danych w pamięci	Przejęcie tokenów konta, haseł, kluczy szyfrowania

Co to oznacza dla Ciebie

Jeśli pracujesz zdalnie z hotelowego Wi-Fi, jesteś w grupie ryzyka. To nie jest abstrakcyjny problem z drugiego końca świata — to coś, co może się zdarzyć w każdym hotelu w Polsce lub Europie.

Najważniejsza zasada jest prosta: hotelowe Wi-Fi nie jest bezpieczne. Nigdy nie było, ale teraz mamy dowód, że może być aktywnie wykorzystywane przez grupy powiązane z rosyjskim wywiadem.

Jeśli po podłączeniu do Wi-Fi wyskakuje „aktualizacja Chrome’a”, to nie jest aktualizacja Chrome’a. Jeśli pojawia się okno Windows Update — to nie jest Windows Update. To jest Midnight Blizzard.

Jak się bronić przed atakami Midnight Blizzard

Microsoft rekomenduje konkretne kroki:

1. Używaj własnego hotspotu — zamiast hotelowego Wi-Fi, użyj hotspotu z telefonu. To najbezpieczniejsze rozwiązanie.

2. Nie pobieraj aktualizacji z pop-upów — nigdy nie klikaj w okna aktualizacji, które pojawiają się w hotelowej sieci. Aktualizacje pobieraj poza siecią hotelową.

3. Nie wpisuj firmowych danych na stronach logowania do Wi-Fi — jeśli portal captive prosi o dane logowania, nie wpisuj tam firmowych danych ani haseł.

4. Używaj uwierzytelniania wielopoziomowego (MFA) — nawet jeśli atakujący przejdzie hasło, MFA uniemożliwi mu dostęp do konta bez drugiego czynnika.

5. Rozważ zablokowanie device code flow — jeśli nie potrzebujesz logowania za pomocą kodu urządzenia, wyłącz tę opcję w ustawieniach konta Microsoft.

6. Włącz passkeys — nowoczesne klucze dostępu są bardziej odporne na phishing niż tradycyjne hasła.

Jeśli już się połączyłeś z hotelowym Wi-Fi i widziałeś dziwne okna — natychmiast zmień hasła do kont firmowych z bezpiecznego urządzenia, sprawdź aktywne sesje w swoim koncie Microsoft i rozważ powiadomienie zespołu IT.