Российские хакеры, связанные с государством, взламывают сети Wi-Fi в отелях по всему миру, чтобы похищать данные командированных сотрудников компаний. Об этом говорится в отчёте Microsoft Threat Intelligence. Наблюдение за атаками Microsoft ведёт с начала мая 2026 года, но сами операции группировки Storm-2945, связанной с другой группой Midnight Blizzard, начались ещё в феврале.
Хакеры перехватывали DNS- и HTTP-трафик в сетях, работающих через страницы авторизации гостевого Wi-Fi, и перенаправляли пользователей через собственную инфраструктуру. Под видом обновлений браузера или операционной системы жертвам подсовывали вредоносное ПО, а приёмами ClickFix — поддельными сообщениями о сбое, которые требуют запустить «проверочный» скрипт, — вынуждали их самостоятельно скачать и запустить программу. Атаку заметили не только в гостиницах, но и в конференц-центрах и на других общих площадках, где останавливаются важные лица.
В кампании задействованы сразу несколько инструментов. Основной из них — CornFlake, написанный на языке Go троян удалённого доступа, который ведёт запись нажатий клавиш, делает снимки экрана, включает микрофон и веб-камеру, крадёт пароли и сессионные токены. Второй — инструмент для кражи информации ChocoShell на PowerShell, нацеленный на файлы cookie, сохранённые пароли, токены Microsoft 365 и пароли от Wi-Fi. Заражёнными устройствами операторы управляют через веб-панель FruitStone. Значительную часть операций, по данным Microsoft, помогал вести искусственный интеллект.
Midnight Blizzard в США и Великобритании связывают со Службой внешней разведки России (СВР). Группировка обычно атакует правительства, дипломатические представительства, НПО и IT-компании в США и Европе, а её цель — сбор разведданных в интересах российской внешней политики. В Microsoft отмечают:
«Midnight Blizzard последовательна и настойчива в выборе целей, и её задачи редко меняются».
В расследовании компании помогали Anthropic и OpenAI. Есть также признаки того, что хакеры пытаются заражать и устройства на Android.
Microsoft советует относиться к гостиничному, конференц- и аэропортовому Wi-Fi как к небезопасному, по возможности пользоваться мобильным интернетом и не устанавливать обновления, которые предлагают всплывающие окна или сами страницы авторизации. Ранее сотрудников американских оборонных предприятий и учёных, изучающих термоядерный синтез, атаковали другие российские хакеры — из группировки Laundry Bear (Void Blizzard), о компрометации их почтовых сервисов сообщила ИБ-компания Proofpoint.