אתם מגיעים למלון אחרי טיסה, פותחים את הלפטופ ומתחברים ל-Wi-Fi של הלובי. תוך כמה שניות קופץ חלון שנראה לגמרי תקין: "עדכון אבטחה זמין לדפדפן". אתם לוחצים, וזה בדיוק הרגע שבו התוקף נכנס.

מיקרוסופט חשפה ב-31 ביולי קמפיין שהיא מכנה CaptiveCrunch, שבו תוקפים משתלטים על רשתות ה-Wi-Fi של מלונות ומרכזי כנסים ומשתמשים בהן כדי להגיש עדכונים מזויפים. מאחורי הפעילות עומדת קבוצה שמיקרוסופט עוקבת אחריה בשם Storm-2945, תת-אשכול של Midnight Blizzard (מוכרת גם כ-APT29), קבוצת ריגול שארצות הברית ובריטניה מייחסות לשירות הביון החיצוני של רוסיה (SVR). המטרה כאן איננה כרטיסי אשראי או כופר, אלא החשבונות הארגוניים של אנשי עסקים בנסיעה. בהמשך נראה איך רשת אורחים תמימה הופכת לנקודת כניסה, מה הנוזקה עושה כשהיא כבר בפנים, ולמה דווקא הנוסעים הם המטרה.

מי עומד מאחורי זה, ומה כבר היה ידוע

Midnight Blizzard רחוקה מלהיות שחקנית חדשה. זו אותה קבוצה שעמדה מאחורי פריצת שרשרת האספקה של SolarWinds, ומאז אוגוסט 2024 מיקרוסופט מתעדת אצלה קמפיינים של פישינג מבוסס device code, טכניקה שנחזור אליה בהמשך. לפי מיקרוסופט, את מניפולציית ה-DNS מרשתות אורחים החלה Storm-2945 להפעיל בתחילת מאי 2026, אחרי גל מוקדם יותר של פישינג הרשאות שנצפה כבר בפברואר.

מיקרוסופט לא הייתה הראשונה לשים לב. שבוע קודם לכן, ב-23 ביולי, פרסמה חברת האבטחה ReliaQuest חלק מהפעילות, אך נזהרה בייחוס: לדבריה הטכניקה דומה לזו של APT28 (Fancy Bear, זרוע המודיעין הצבאי הרוסי), בלי לקבוע ייחוס רשמי. במילים אחרות, שתי חברות מסתכלות על אותה תשתית ורואות שתי קבוצות רוסיות שונות. את ההצלבה הזו כדאי לזכור כשקוראים כותרות נחרצות.

איך שער ה-Wi-Fi הופך למלכודת

כדי להבין את המתקפה צריך לעצור רגע על מה שקורה כשמתחברים לרשת ציבורית. לפני שיש לכם אינטרנט בכלל, הרשת מנתבת אתכם דרך עמוד כניסה, אותו מסך של תנאי שימוש או הזנת שם וחדר. הרכיב שמפעיל את העמוד הזה משמש גם כשרת ה-DNS של הרשת, אותו מתרגם שממיר שמות אתרים לכתובות מספריות. מי ששולט ברכיב הזה שולט למעשה בכל תשובה שהמחשב שלכם מקבל על השאלה "לאן ללכת".

וזה בדיוק מה שהתוקפים השיגו. הם קיבלו גישת ניהול לשערים האלה, זייפו את תשובות ה-DNS, וכיוונו את התעבורה לתשתית שבשליטתם. מיקרוסופט מציינת דמיון בולט בציוד ובמערכות הניהול בין הרשתות שנפגעו, מה שמרמז שהתוקפים לא פרצו מלון-מלון בנפרד אלא נגעו בשירות משותף שמפעיל את מערכות האורחים של רבים מהם. ReliaQuest ניסחה את זה בחדות: "שער אחד שנפרץ מאפשר לתוקף להסיט בשקט את התעבורה של המשתמשים בלי לגעת במכשירים שלהם כלל".

החוליה האחרונה חכמה במיוחד. Windows מריץ ברקע בדיקה אוטומטית קטנה שבודקת אם המכשיר באמת מחובר לאינטרנט (מנגנון בשם NCSI), והתשובה לבדיקה הזו היא בדיוק מה שהתוקף שולט בו. במקום אישור תקין, הבדיקה מוחזרת לעמוד שמחופש לעדכון דפדפן או מערכת הפעלה. המשתמש לא הקליד כתובת ולא לחץ על קישור חשוד, החלון פשוט הופיע.

מעדכון מזויף לפקודה בטרמינל

מה שקופץ על המסך הוא חלק ממשפחת טכניקות שנקראת ClickFix: חלונות התקדמות מזויפים שמחקים עדכון לגיטימי. מיקרוסופט ראתה גרסאות שמתחזות ל-Windows Update, ל-Windows Security, ל-DirectX, לרכיבי Visual C++, ואפילו ל"אופטימיזציית דיסק" ו"אבחון רשת". חלק מהעמודים לא מסתפקים בהורדה אחת אלא מבקשים מהמשתמש לפתוח את חלון ה-Terminal של Windows ולהדביק שם פקודת "אימות" קצרה. הפקודה הזו היא שמורידה ומריצה את הנוזקה בפועל.

זו נקודה ששווה להפנים: הבקשה להדביק פקודה בטרמינל היא הסימן. עדכון אמיתי של דפדפן או של מערכת ההפעלה לעולם לא מגיע דרך עמוד התחברות לרשת, ולעולם לא מתבצע בכך שאתם מריצים שורת פקודה בעצמכם.

CornFlake: מה קורה על המחשב עצמו

המטען המרכזי הוא נוזקת ריגול שכתובה בשפת Go, בשם CornFlake. אחרי ההרצה היא מעתיקה את עצמה אל התיקייה %APPDATA%\\svchost32\\svchost32.exe ונרשמת כ-service בשם התמים "Cloud Sync Service". כדי לשרוד אתחול היא מוסיפה גם מפתחות הרצה ברישום ומשימות מתוזמנות, ומריצה רכיב שמירה שמשחזר כל מנגנון שימור אחיזה שמוחקים. במילים אחרות, מחיקה חלקית לא מספיקה כאן, וניקוי ידני שמפספס אפילו רכיב אחד מאפשר לנוזקה לצמוח בחזרה תוך שניות.

מרגע שהיא יושבת על המכשיר, CornFlake הופכת אותו למכשיר האזנה מלא. לפי מיקרוסופט היא מתעדת הקשות מקלדת, מצלמת צילומי מסך כשהמשתמש לא פעיל, מקליטה מהמיקרופון (כקובצי WAV) ומהמצלמה (כתמונות JPEG), עוקבת אחרי הלוח (clipboard), וסורקת התקני USB שמתחברים. רכיב נפרד בשם ChromeKatz מחלץ עוגיות וסיסמאות שמורות מהדפדפן, כולל עקיפה של מנגנון ההצפנה החדש של Chrome (App-Bound Encryption) שאמור היה להקשות בדיוק על גניבה כזו. יש גם shell מרוחק שמאפשר לתוקף להריץ פקודות ישירות.

התקשורת מול שרת השליטה והבקרה (C2, השרת שממנו התוקף שולח פקודות ומקבל את המידע הגנוב) מוצפנת בהחלפת מפתחות ECDH עם מפתח ייחודי לכל חיבור, כך שמי שמיירט את התעבורה לא יוכל לפענח אותה בדיעבד בלי המפתח של אותה הפעלה ספציפית. קובץ הגדרות בשם sync.dat מאפשר לתוקף להחליף כתובות C2 ולשנות מה בדיוק לחפש, בלי להתקין מחדש שום דבר.

הצד השני: ה-token-ים והחשבון בענן

החלק שמסביר למה כל זה מכוון דווקא לאנשי עסקים נמצא במטען השני, סקריפט PowerShell בשם ChocoShell שרץ כולו בזיכרון בלי להיכתב לדיסק. הוא מחפש דבר אחד בעיקר: פרטי הגישה של המשתמש לשירותי הענן. הוא שולף את ה-token-ים של Microsoft 365 ושל Entra (access, refresh ו-WAM) מתוך המטמון המקומי של Token Broker, מוסיף את פרטי ה-Wi-Fi השמורים במכשיר, ומכבה בדרך את מנגנון ה-AMSI כדי להתחמק מזיהוי.

ולצד גניבת ה-token-ים מהמכשיר, יש גם דרך גניבה שלא נוגעת במכשיר בכלל. החל מ-16 ביולי, חלק מעמודי הנחיתה מפנים את הקורבן לתהליך התחברות אמיתי של מיקרוסופט מסוג device code. התהליך הזה נועד במקור למכשירים בלי מקלדת נוחה, כמו טלוויזיה חכמה: מיקרוסופט מציגה קוד קצר, ואתם מקלידים אותו במכשיר אחר כדי לאשר את ההתחברות. בקמפיין הזה התוקף פותח בעצמו התחברות, מקבל קוד, וגורם לקורבן להקליד את הקוד של התוקף בעמוד ההתחברות האמיתי של מיקרוסופט. הקורבן מאשר, האימות הדו-שלבי שלו נכנס לתמונה, וההרשאה מוענקת לא לו אלא להפעלה שבשליטת התוקף. התוצאה: לתוקף יש כעת גישה תקפה לחשבון, בלי סיסמה ואחרי שהאימות הדו-שלבי כבר סופק. מיקרוסופט מציינת חפיפה ניכרת בקורבנות בין הקמפיין הזה לבין Storm-2372, אשכול קודם של Midnight Blizzard שהתמחה בדיוק בפישינג device code, וקובעת שהמכנה המשותף הוא רדיפה אחר חשבונות של עובדים בנסיעה, אנשים שממילא נמצאים על רשתות זרות ופחות ערניים לחריגות.

מה זה אומר בפועל

השורה התחתונה לנוסעים פשוטה. כדאי להתייחס לכל רשת אורחים, במלון, בכנס או בשדה תעופה, כרשת לא מהימנה, ולהעדיף עליה נקודה חמה מהטלפון או חיבור סלולרי. שום עדכון תוכנה לגיטימי לא מגיע דרך מסך ההתחברות לרשת, ובקשה להדביק פקודה בטרמינל היא סימן ודאי למתקפה, לא לתחזוקה. לארגונים, מיקרוסופט ממליצה לחסום את זרימת ה-device code היכן שאין בה צורך, לעבור לאימות עמיד לפישינג כמו passkeys, ולהזהיר עובדים לא לעשות שימוש חוזר בפרטי האימות הארגוניים בעמודי הרישום של רשתות אורחים.