Российские хакеры, связанные с государством, взламывают сети Wi-Fi в отелях по всему миру, чтобы похищать данные командированных сотрудников компаний. Об этом говорится в отчете Microsoft Threat Intelligence. Наблюдение за атаками Microsoft ведет с начала мая 2026 года, но сами операции группировки Storm-2945, связанной с другой группой — Midnight Blizzard, — начались еще в феврале.
Хакеры перехватывали DNS- и HTTP-трафик в сетях, работающих через страницы авторизации гостевого Wi-Fi, и перенаправляли пользователей через собственную инфраструктуру. Под видом обновлений браузера или операционной системы жертвам подсовывали вредоносное ПО, а приемами ClickFix — поддельными сообщениями о сбое, которые требуют запустить «проверочный» скрипт, — вынуждали их самостоятельно скачать и запустить программу. Атаку заметили не только в гостиницах, но и в конференц-центрах, и на других общих площадках, где останавливаются важные лица.
В кампании задействованы сразу несколько инструментов. Основной из них — CornFlake, написанный на языке Go троян удаленного доступа, который ведет запись нажатий клавиш, делает снимки экрана, включает микрофон и веб-камеру, крадет пароли и сессионные токены. Второй — инструмент для кражи информации ChocoShell на PowerShell, нацеленный на файлы cookie, сохраненные пароли, токены Microsoft 365 и пароли от Wi-Fi. Зараженными устройствами операторы управляют через веб-панель FruitStone. Значительную часть операций, по данным Microsoft, помогал вести искусственный интеллект.
Midnight Blizzard в США и Великобритании связывают со Службой внешней разведки России (СВР). Группировка обычно атакует правительства, дипломатические представительства, НПО и IT-компании в США и Европе, а ее цель — сбор разведданных в интересах российской внешней политики. В Microsoft отмечают:
«Midnight Blizzard последовательна и настойчива в выборе целей, и ее задачи редко меняются».
В расследовании компании помогали Anthropic и OpenAI. Есть также признаки того, что хакеры пытаются заражать и устройства на Android.
Microsoft советует относиться к гостиничному, конференц- и аэропортовому Wi-Fi как к небезопасному, по возможности пользоваться мобильным интернетом и не устанавливать обновления, которые предлагают всплывающие окна или сами страницы авторизации. Ранее сотрудников американских оборонных предприятий и ученых, изучающих термоядерный синтез, атаковали другие российские хакеры — из группировки Laundry Bear (Void Blizzard), о компрометации почтовых сервисов жертв атак сообщила ИБ-компания Proofpoint.
