Microsoftは、CaptiveCrunchと名付けたサイバーキャンペーンについて警告した。このキャンペーンは、ホテル、会議センター、その他の宿泊施設でログインポータルを使用するWi‑Fiネットワークを悪用してユーザーのトラフィックを操作し、攻撃者が管理するインフラストラクチャへ誘導して、マルウェアを展開し認証情報を窃取する。
Microsoft Threat Intelligenceの評価によると、このキャンペーンは、ロシアの脅威アクターであるMidnight Blizzardの作戦上の下位グループ、Storm-2945に関連している。Microsoftは2026年5月初旬から複数の国でこの活動を確認している。一方、ReliaQuestは、一部の作戦が会議センターなどの共有スペースも標的にしており、企業部門の旅行者のアカウントに重点を置いている可能性があると指摘した。
ネットワーク操作とMicrosoftサービスを介したフィッシング
Storm-2945は、自らが管理するサイトやサーバーを使用し、キャプティブポータルが提供するネットワークから発信されるDNSおよびHTTPトラフィックをリダイレクトする。ユーザーには、ブラウザーやオペレーティングシステムの更新、またはネットワーク診断ツールを装う偽のメッセージが表示され、ファイルをダウンロードして実行するよう促されることがある。
Microsoftは、Microsoftのサービスに似せたドメインも確認しており、Microsoft Entra IDのデバイスコード認証フローを悪用する中間者型（adversary-in-the-middle）のフィッシングに使用されている。このシナリオでは、攻撃者が生成したコードを正規のMicrosoftログインページに入力するようユーザーを説得し、その結果、ユーザーのセッションではなく攻撃者のセッションが認証される。Microsoftは7月16日、一部のCaptiveCrunchページでこの手法が使用されていることを確認し始めた。
Microsoftによると、Storm-2945は作戦の大部分を支援するために人工知能を使用している。また、デバイスコードやOAuthを介した過去のフィッシングキャンペーン、Microsoft Graphを介した電子メールの抽出、ソーシャルエンジニアリング手法など、技術面および運用面の類似点に基づき、Storm-2945をMidnight Blizzardと関連付けている。
広範な機能を持つマルウェア
確認されたツールには、CornFlakeが含まれる。これはGoで記述され、Windowsを標的とするリモートアクセス型トロイの木馬である。このプログラムは、システム情報、ファイル、キーストローク、認証情報、セッショントークンを収集できるほか、リムーバブルメディアを監視し、リモート制御用のシェルを提供する。また、音声および映像の監視機能も備えている。
ChocoShellはPowerShellベースの情報窃取ツールで、完全にメモリ内で実行される。ブラウザーセッションのCookie、保存されたパスワード、Microsoft 365のシングルサインオン用トークン、Wi‑Fiネットワークの認証情報を主な対象とする。Microsoftは、感染端末の管理、ペイロードの構築、窃取データの確認に使用されるFruitStoneという名称のコントロールパネルも確認した。
旅行者と組織向けの指針
Microsoftは、ホテル、会議施設、空港のネットワークやゲストネットワークを信頼できないものとして扱い、可能な場合はモバイルホットスポット、eSIM接続、プライベート接続を優先するよう推奨している。また、キャプティブポータルや予期しないポップアップに表示される更新プログラム、証明書、セキュリティツールをインストールせず、信頼できるオペレーティングシステムの仕組みを通じて更新を確認するようユーザーに呼びかけている。
組織向けの指針には、ゲストネットワークの登録ページで企業の認証情報を再利用しないこと、パスキー、多要素認証、条件付きアクセスのポリシーを使用すること、可能な場合はデバイスコードフローをブロックすることが含まれる。Microsoftは、Microsoft DefenderおよびMicrosoft Sentinelを通じた検出・調査のガイダンスも提供している。これには、Wi‑Fi接続テスト後のファイル作成、Storm-2945に関連するインフラストラクチャへの接続、CornFlakeファイルまたはCloud Sync Serviceという名前のWindowsサービスの存在を検索することなどが含まれる。