Storm-2945 возобновила кампанию CaptiveCrunch: под ударом Wi-Fi в отелях и конференц-центрах

С начала мая 2026 года группировка перехватывает сетевой трафик в сетях, где подключение устроено через страницу авторизации. Такая страница просит гостя принять условия или ввести номер комнаты, после чего через неё проходит весь трафик до выхода в интернет. Storm-2945 научилась подменять ответы на этом участке. Из-за этого браузер пользователя открывает не запрошенный сайт, а поддельную страницу. Затем человека уводят на фишинговый ресурс либо убеждают скачать файл.

Повторный запуск кампании совпал с наблюдениями Black Lotus Labs: в схему вовлечены несколько поставщиков услуг для гостиничного бизнеса. По данным Microsoft Threat Intelligence, сохранившийся доступ к инфраструктуре таких поставщиков позволяет быстро разворачивать атаку заново. Часть перенаправлений ведёт на страницы, имитирующие сервисы Microsoft, а оттуда - на фишинг с использованием кода устройства. Жертву просят ввести этот код на настоящей странице входа. В результате человек авторизует сессию злоумышленника, а не собственную. Механика опирается на легитимный сценарий входа, придуманный для устройств без клавиатуры и экрана.

Ещё один сценарий - поддельные обновления. Браузеры и операционные системы сами проверяют наличие новых версий при подключении к сети. Злоумышленники перехватывают такие запросы и отвечают на них страницей с предложением обновить браузер, драйвер или систему безопасности. Окно выглядит убедительно: полоса загрузки, проценты, знакомые названия программ. В части случаев пользователя просят открыть терминал и вставить скопированную команду. Такой приём известен как ClickFix. Среди поддельных окон встречались экраны центра обновлений Windows, сканера безопасности, установщика библиотек и оптимизатора диска.

Есть и мобильное направление. На фишинговых страницах для Android попадаются инструкции скачать и установить приложение из файла, а не из официального магазина. Этим путём распространяют программу, которая затем собирает данные с телефона. Основная ставка всё же на ноутбуки: рабочие устройства дают доступ к корпоративной почте, документам и внутренним системам.

На заражённых компьютерах работает несколько инструментов. Главный из них - программа удалённого доступа CornFlake, написанная на Go. Она перехватывает нажатия клавиш, делает снимки экрана, записывает звук с микрофона и видео с камеры, забирает файлы по расширениям, следит за подключением съёмных носителей и выполняет команды в удалённой оболочке. Для маскировки она прописывается в системе как служба с названием, похожим на легитимный процесс, и создаёт сразу несколько механизмов закрепления. Недавно появился вариант на Rust. По оценке Microsoft, его особенности указывают на применение генеративных моделей при разработке.

Второй инструмент, ChocoShell, работает только в оперативной памяти и не оставляет файлов на диске. Его задача - массовая кража: сохранённые пароли, файлы cookie, ключи шифрования браузеров, токены доступа к Microsoft 365 и учётные данные Wi-Fi. Отдельного внимания заслуживают токены единого входа. С ними вход в облачные сервисы возможен без пароля и без браузерных файлов cookie. Для управления всей инфраструктурой служит веб-панель FruitStone. Она оформлена как портал управления облаком вымышленной компании и объединяет сведения обо всех заражённых устройствах.

Storm-2945 считается подгруппой Midnight Blizzard. Это группировка, которую власти США и Великобритании связывают со Службой внешней разведки России. Она годами охотится за государственными структурами, дипломатами, некоммерческими организациями и поставщиками ИТ-услуг в США и Европе. Цель - сбор разведданных. Похожую подмену сетевых ответов Microsoft описывала в апреле 2026 года в кампании Forest Blizzard, где речь шла о перехвате запросов к доменным именам.

Основной риск для организаций - захват корпоративной учётной записи. Получив токены единого входа, злоумышленник читает почту и файлы сотрудника, не меняя пароль и не вызывая подозрений. Отели и конференц-центры редко воспринимаются как опасная среда, поэтому человек охотнее вводит данные на странице, похожей на рабочую. Гостевые сети разумно считать недоверенными. В поездках лучше пользоваться мобильным хотспотом, спутниковым каналом или мобильным интернетом. Организациям стоит запрещать подключение управляемых устройств к сетям, не настроенным заранее.

Второе направление защиты - идентификация. Многофакторная аутентификация и ключи доступа (passkeys - беспарольный способ входа) снижают ценность украденного пароля. Политики условного доступа позволяют блокировать вход из нетипичных мест и с незнакомых устройств. Вход по коду устройства стоит разрешить только там, где он действительно нужен. Сотрудников полезно научить распознавать поддельные проверки и просьбы вставить команду в терминал. Обновления и сертификаты нужно получать через штатные механизмы системы, а не через всплывающие окна.

Кампания показывает, что общая инфраструктура гостевых сетей превращается в удобную точку входа. Один скомпрометированный поставщик обслуживает десятки площадок, и доступ сохраняется даже после локальной чистки. Руководитель в командировке рискует не меньше, чем сотрудник в офисе. Организациям стоит заранее решить, какие данные допустимо передавать в поездке и по каким каналам это делать.