Microsoftは現地時間7月31日、ロシア関連の脅威アクター「Midnight Blizzard」のサブグループ「Storm-2945」が、ホテルや会議場が提供する公共Wi-Fiの接続認証画面（キャプティブポータル）を悪用した大規模攻撃キャンペーン「CaptiveCrunch」を展開していると警告した。PC Watchが報じたところによると、標的は出張者や旅行者で、通信の乗っ取りを起点にマルウェア感染や認証情報の窃取を狙っているという。

なぜこの攻撃が見過ごせないのか

これまでの公共Wi-Fi悪用の手口は、個々の施設のネットワーク機器を一つひとつ狙うのが一般的だった。今回の特徴は、複数のホテルやイベント会場で使われているキャプティブポータルの管理システムや機器そのものを侵入の足がかりにしている可能性が高い点にある。Microsoftによれば、被害を受けた複数のネットワークの管理システムや機器に共通点が見られ、攻撃者が共有サービス側にアクセスしている可能性を示唆しているという。個別施設のセキュリティ対策とは別の層で攻撃が成立し得る攻撃モデルであり、影響範囲を見積もりにくい点が警戒されている。

手口の核心：キャプティブポータルへの中間者攻撃

スマートフォンやPCはWi-Fi接続時、キャプティブポータルの有無を確認するための接続チェックリクエストを自動送信する仕組みを持つ。Storm-2945はこの自動リクエストに改ざんした応答を返し、ユーザーの通信を攻撃者管理下のフィッシングサーバーへ強制的にリダイレクトさせる中間者攻撃を仕掛ける。

リダイレクト先ではブラウザやOSのアップデートを装ったページが表示され、「ClickFix」と呼ばれるソーシャルエンジニアリング手法でユーザー自身にWindowsターミナルやPowerShellを開かせ、画面の指示通りに検証用スクリプトをコピー&ペーストして実行させるよう誘導する。Androidの場合は「問題修正用」を装ったAPKファイルのダウンロードを促す手口が確認されている。

送り込まれるマルウェア「CornFlake」と「ChocoShell」

ユーザーが手動でコマンドを実行すると、Go言語で書かれたフル機能のリモートアクセス型トロイの木馬「CornFlake」が展開される。初回起動時にはWindows Updateやセキュリティスキャンを装った偽の進捗ウィンドウを表示してユーザーの注意をそらしつつ、裏では正規プロセスのsvchost.exeを模した「svchost32」という名前でサービス化される。サービス化後はC2サーバーと暗号化通信を行い、キーロギング、クリップボード監視、スクリーンショット撮影、Webカメラ映像の取得、ブラウザ認証情報の窃取、USBメモリの監視など幅広いスパイ活動を実行するという。

さらに、メモリ上で実行されるPowerShellベースの資格情報窃盗ツール「ChocoShell」も投入される。AI支援によるコード生成で作成された可能性が指摘されており、防御回避や権限昇格、セッション窃盗、データの外部送信までを担う。攻撃者側は「FruitStone」と呼ばれる管理パネルを使い、侵害端末の一覧管理、新規キャンペーンの構築・展開、窃取データの確認を行っているとMicrosoftは説明している。

日本の出張者・エンジニアが今すぐできる対策

Microsoftは、ホテル・会議場・空港の公共Wi-Fiは基本的に信頼できないものとして扱い、可能な限りモバイルルーターやテザリング、VPNなどプライベートな接続手段を優先するよう推奨している。海外出張が多いエンジニアやIT担当者にとっては、接続時に表示される「アップデートしてください」「証明書をインストールしてください」といったポップアップの指示に安易に従わないことが特に重要だ。特にWindowsターミナルやPowerShellへのコマンド貼り付けを求める画面は、ClickFix型攻撃の典型的なパターンであり、見た目が公式のトラブルシューティング画面に似ていても、その場でコマンドを実行しないという判断が求められる。

日本国内でも海外出張者やカンファレンス参加者は同種のリスクにさらされる可能性があり、社内のセキュリティ教育やモバイルデバイス管理（MDM）ポリシーの中で「公共Wi-Fi利用時の心得」として周知しておく価値がある注意喚起と言えるだろう。

出典: この記事は えっ、公共Wi-Fiの接続画面が偽物？Microsoftが警告する恐るべき手口 の内容をもとに、筆者の見解を加えて独自に執筆したものです。