ไมโครซอฟต์แฉ แฮกเกอร์รัสเซียแฮก Wi-Fi โรงแรมเพื่อสอดแนมเหล่านักท่องเที่ยว

จากรายงานโดยเว็บไซต์ The Record ได้กล่าวถึงการที่ทางไมโครซอฟท์ตรวจพบกิจกรรมการแฮกของแฮกเกอร์กลุ่ม Storm-2945 ซึ่งเป็นกลุ่มย่อยของ Midnight Blizzard กลุ่มแฮกเกอร์ที่ได้รับการหนุนหลังจากหน่วยข่าวกรองต่างประเทศแห่งประเทศรัสเซีย (SVR) ทำการแฮกระบบไวไฟโรงแรมต่าง ๆ ทั่วโลกเพื่อขโมยรหัสผ่านสำหรับล็อกอินของนักท่องเที่ยว (Login Credential) และปล่อยมัลแวร์สอดแนม (Espionage Malware) ใส่นักท่องเที่ยวผู้โชคร้าย ซึ่งกิจกรรมการแฮกอันอุกอาจนี้ได้ถูกตรวจพบช่วงเดือนพฤษภาคมที่ผ่านมา โดยกลุ่มแฮกเกอร์กลุ่มดังกล่าวนั้นจะมุ่งเน้นการโจมตีไปยังโรงแรม และสถานบริการต่าง ๆ ที่ตัวระบบไวไฟนั้นต้องทำการล็อกอินผ่านเพจพิเศษ หรือ Captive Portal ถึงจะใช้งานอินเทอร์เน็ตได้ ซึ่งในจุดนี้แฮกเกอร์จะทำการสอดแทรกหน้าล็อกอินของ Microsoft 365 ปลอม เพื่อขโมยรหัสใช้งานบริการ Microsoft 365 จากเหยื่อ และสำหรับในบางโรงแรมนั้น แฮกเกอร์อาจใช้หน้าเพจแจ้งให้เหยื่ออัปเดตเว็บเบราว์เซอร์ หรือ ระบบปฏิบัติการ (OS หรือ Operating System) ปลอม เพื่อลวงให้เหยื่อติดตั้งมัลแวร์ลงสู่เครื่องด้วยวิธีการแบบ ClickFix (การใช้หน้าเพจปลอมหลอกล่อให้เหยื่อทำตามโดยอ้างว่าเป็นการแก้ปัญหา แต่แท้จริงเป็นการฝังมัลแวร์)

มัลแวร์ในแคมเปญนี้นั้น ทางทีมตรวจสอบพบอยู่หลัก ๆ 2 ตัว นั่นคือ

CornFlake มัลแวร์ประเภทเข้าควบคุมเครื่องของเหยื่อจากระยะไกล หรือ RAT (Remote Access Trojan) ที่มุ่งเน้นการโจมตีไปยังเครื่องคอมพิวเตอร์ที่ใช้งานระบบปฏิบัติการ Windows โดยหลังจากที่ฝังตัวลงบนเครื่องได้สำเร็จ ตัวมัลแวร์ก็จะทำการขโมยไฟล์, ดักจับการพิมพ์ของเหยื่อ (Keystroke), ขโมยรหัสผ่าน และโทเคนยืนยันตัวตน (Authentication Token), ลักลอบบันทึกวิดีโอ และเสียง, ตรวจจับไดร์ฟที่โยกย้ายพกพาได้เมื่อเสียบลงเครื่อง เช่น ไดร์ฟ USB และเปิดทางให้แฮกเกอร์สามารถเข้าควบคุมเครื่องของเหยื่อได้

ChocoShell เป็นมัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ หรือ Infostealer ที่เน้นการขโมยข้อมูลสำคัญต่าง ๆ เช่นไฟล์ Cookie บนเว็บเบราว์เซอร์, รหัสผ่านที่ถูกบันทึกไว้, โทเคนสำหรับการล็อกอินครั้งเดียว (Single Sign On หรือ SSO) ของ Microsoft 365, และรหัสผ่านไวไฟ

ทางไมโครซอฟท์ยังตั้งข้อสังเกตอีกว่าแคมเปญนี้อาจมุ่งเน้นการโจมตีระบบปฏิบัติการตัวอื่นนอกจาก Windows อีกด้วย เนื่องจากมีการตรวจพบว่าหน้าอัปเดตปลอมบางหน้ามีการหลอกลวงให้ผู้ใช้งานระบบปฏิบัติการ Android ติดตั้งแอปพลิเคชันแฝงมัลแวร์ลงสู่เครื่องเช่นเดียวกัน