Otel WiFi'sini kullanmayın uyarısı yapıldı
Microsoft, Rus devlet destekli siber korsanların otel Wi-Fi ağlarını ele geçirerek seyahat edenlerin verilerini çaldığını açıkladı. Uzmanlar, tatilcileri otel ağlarını kullanmamaları konusunda uyarırken, saldırıların sahte giriş ve güncelleme sayfaları üzerinden cihazlara casus yazılım bulaştırılarak gerçekleştirildiği bildirildi.
İngiliz tatilcilere, Microsoft'un Rus korsanların otel ağlarını ele geçirdiğini açıklamasının ardından otel Wi-Fi ağlarını kullanmamaları yönünde uyarı yapıldı. Araştırmacılar, Rus devlet destekli siber korsanların seyahat edenlerin giriş bilgilerini çalmak ve cihazlarına casusluk yazılımları bulaştırmak amacıyla dünya genelindeki otel Wi-Fi ağlarını ele geçirdiğini tespit etti.
Microsoft tarafından yayımlanan raporda, bu faaliyetin Batılı istihbarat örgütlerinin Rusya Dış İstihbarat Servisi (SVR) ile bağlantılı olduğunu değerlendirdiği Midnight Blizzard adlı casusluk grubunun alt birimi Storm-2945 ile ilişkili olduğu ifade edildi. Microsoft tarafından ilk olarak Mayıs başında gözlemlenen kampanya; otelleri ve kullanıcıların internete bağlanmadan önce eriştiği "tutsak portal" adı verilen giriş sayfalarını kullanan konaklama tesislerini hedef alıyor.
Araştırmacılara göre saldırganlar, ele geçirilen ağlardaki internet trafiğini yönlendirerek kullanıcıları sahte Microsoft giriş sayfalarına veya zararlı yazılım yüklemeyi amaçlayan sahte tarayıcı ve işletim sistemi güncelleme ekranlarına aktarıyor.
BİRİNCİL HEDEFİN KURUMSAL SEYAHATÇİLER OLDUĞU BİLDİRİLDİ
Siber güvenlik şirketi ReliaQuest, operasyonun ABD'deki çeşitli şehirlerin yanı sıra Hindistan ve Suudi Arabistan'daki otelleri, konaklama kuruluşlarını ve konferans merkezlerini etkilediğini; birincil hedefin kurumsal seyahatçiler olduğunu bildirdi.
Microsoft'un verilerine göre korsanlar iki ana yöntem kullanıyor: Sahte Microsoft giriş sayfaları üzerinden hesap şifrelerini çalmak. Sahte güncelleme uyarıları göstererek kullanıcıların zararlı yazılımları cihazlarına manuel olarak indirmesini sağlamak.
Yüklenen zararlı yazılımlardan CornFlake, bilgisayarın uzaktan kontrol edilmesine, dosya erişimine, klavye kayıtlarının tutulmasına ve ses/video kaydı alınmasına imkan tanıyor. ChocoShell ise kayıtlı şifreleri, tarayıcı çerezlerini, Wi-Fi anahtarlarını ve oturum açma belirteçlerini topluyor. Ayrıca sahte güncelleme sayfalarında Android kullanıcılarını kötü amaçlı uygulama yüklemeye yönlendiren talimatlar da yer alıyor.
Nisan ayında İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), APT28 grubunun güncel olmayan ağ cihazlarını ve yönlendiricileri (router) kullanarak web trafiğini ele geçirdiğini duyurmuştu. Microsoft ise son faaliyeti, hükümetleri ve kritik sektörleri hedef alan Midnight Blizzard (APT29 / Cozy Bear / BlueBravo) grubu bünyesindeki Storm-2945'e dayandırdı.
ReliaQuest, tutsak portal sistemi işleten havalimanları, ortak çalışma alanları, üniversiteler, sağlık tesisleri ve etkinlik mekanlarının da benzer riskler taşıdığını belirtti.