Rosyjska grupa hakerska Storm-2945, podklaster znanego Midnight Blizzard, od lutego 2026 roku celuje w podróżnych korzystających z publicznych sieci. Ich szeroko zakrojone ataki manipulują ruchem w sieciach hotelowych i innych obiektów z tak zwanymi captive portalami. Celem jest dostarczanie złośliwego oprogramowania oraz kradzież wrażliwych danych uwierzytelniających. Sytuacja stanowi poważne zagrożenie dla prywatności i bezpieczeństwa użytkowników na całym świecie. Wystarczy podłączyć się do otwartego Wi-Fi w recepcji, aby bez klikania w jakiekolwiek podejrzane maile stracić kontrolę nad własnym sprzętem.
Publiczne Wi-Fi jako pułapka na nieświadomych turystów
Cały przekręt opiera się na banalnym mechanizmie dotyczącym tzw. captive portals. Znasz ten ekran, który wyskakuje po połączeniu z siecią w lobby, każąc zaakceptować regulamin albo podać numer pokoju. Napastnicy z grupy Storm-2945 potrafią opanować infrastrukturę odpowiadającą za wyświetlanie tych okien, dzięki czemu po cichu manipulują ruchem DNS oraz HTTP i przekierowują ruch na swoje serwery.
Nie musisz brać udziału w podejrzanych operacjach ani otwierać spamu. Pułapka zatrzaskuje się dokładnie w momencie, gdy próbujesz uzyskać dostęp do internetu na urlopie czy wyjeździe służbowym. Co ciekawe, napastnicy do generowania kodu i tworzenia fałszywych komunikatów zaprzęgli narzędzia oparte na sztucznej inteligencji.
Zamiast tradycyjnych ataków dostajemy nowoczesne sztuczki, w tym uwielbiany przez cyberprzestępców schemat ClickFix. System serwuje wyskakujące okienka informujące o rzekomym błędzie przeglądarki albo pilnej potrzebie zaaplikowania poprawki dla systemu Windows.
Do tego dochodzi phishing kodów urządzeń wykorzystujący mechanizm OAuth, gdzie po prostu przepisujesz kod na autentycznej stronie Microsoftu, oddając hakerom klucze do swojego konta na tacy. Na celowniku znaleźli się nie tylko użytkownicy okienek. Przygotowano też dedykowane instrukcje oraz złośliwe pliki APK z myślą o posiadaczach smartfonów z Androidem.
Wirusy korzystają z otwartej furtki
Gdy już dasz się nabrać na fałszywy komunikat, do wnętrza systemu wkracza CornFlake, czyli wyjątkowo bezczelny trojan zdalnego dostępu. Ten nieproszony gość potrafi rejestrować naciskane klawisze, podglądać zawartość schowka, robić zrzuty ekranu, a nawet nagrywać obraz z kamerki i dźwięk z mikrofonu. Całość maskuje się pod nieszkodliwymi procesami w stylu svchost32.exe albo udaje systemową usługę chmurową.
Drugim komponentem jest ChocoShell. To skrypt PowerShell działający bezpośrednio w pamięci RAM, przez co większość tradycyjnych programów ochronnych przepuszcza go bez mrugnięcia okiem. Narzędzie służy do hurtowego wyciągania ciasteczek sesyjnych, haseł, tokenów dostępowych do środowiska Microsoft 365 i wszystkiego, co ma jakąkolwiek wartość na czarnym rynku. Skrypt potrafi sprawnie ominąć mechanizmy UAC, dając atakującym pełne pole do popisu na zainfekowanej maszynie.
Darmowy internet bywa najdroższy. Czas zmienić nawyki podczas podróży
Publiczne hotspoty w hotelach, na lotniskach czy w centrach handlowych należy z góry traktować jako strefę skażoną. Zamiast liczyć na szczęście i podłączać się do obcego punktu dostępowego, znacznie bezpieczniej odpalić hotspot z własnego telefonu. Możesz też skorzystać z profilu eSIM albo zabrać ze sobą mały router podróżny ze spiętym na sztywno, szyfrowanym tunelem VPN.
Żadna szanująca się sieć Wi-Fi nie będzie wymagać od nas pobierania poprawek systemowych do wyświetlenia prostej strony internetowej. Jeśli po próbie połączenia ekran zacznie krzyczeć o konieczności instalacji czegokolwiek, jedyną właściwą reakcją jest natychmiastowe zamknięcie przeglądarki i odłączenie się od sieci. Warto też wreszcie wdrożyć logowanie bezhasłowe oparte na kluczach passkey oraz przestanie wpisywać służbowe maile w formularzach rejestracyjnych do darmowego internetu.
Źródło: Microsoft / Zdj. otwierające: Pexels (Stefan Coders), Canva