İngiliz tatilcilere otel Wi-Fi ağlarını kullanmayın uyarısı
Microsoft'un açıklamasına göre, Rus korsanlar dünya genelinde otel ağlarını ele geçirerek hesap bilgilerini çalıyor ve cihazlara casus yazılım yüklüyor.
İngiliz tatilcilere, Microsoft'un Rus korsanların otel ağlarını ele geçirdiğini duyurmasının ardından otel Wi-Fi ağlarından uzak durmaları için resmi uyarı yapıldı. Uzmanlar, Rusya devletinin desteklediği siber saldırganların seyahat eden kişilerin şifrelerini ele geçirmek ve telefon ya da bilgisayarlarına casus programlar sızdırmak amacıyla küresel çapta otel kablosuz internet ağlarını hacklediğini belirledi.
Microsoft tarafından paylaşılan raporda, bu siber faaliyetin Batılı istihbarat servislerinin Rusya Dış İstihbarat Servisi (SVR) ile bağlantılı kabul ettiği Midnight Blizzard isimli casusluk ağının alt kolu olan Storm-2945 ile bağlantılı olduğu aktarıldı. İlk defa mayıs ayının başında fark edilen bu kampanya, özellikle otelleri ve kullanıcıların internete erişim sağlamadan evvel karşılaştığı "tutsak portal" adı verilen karşılama ekranlarını barındıran konaklama mekanlarını hedef alıyor.
Siber güvenlik uzmanlarının tespitlerine göre saldırganlar, kontrolü ele aldıkları ağlardaki veri trafiğini başka yöne kaydırarak insanları sahte Microsoft oturum açma panellerine veya zararlı yazılımlar barındıran sahte tarayıcı ile işletim sistemi güncelleme ekranlarına yönlendiriyor.
Siber güvenlik alanında faaliyet gösteren ReliaQuest şirketi, bu operasyonun Amerika Birleşik Devletleri'ndeki pek çok kentin yanı sıra Hindistan ve Suudi Arabistan'daki otelleri, konaklama işletmelerini ve kongre merkezlerini vurduğunu, asıl hedefin ise iş amaçlı seyahat eden profesyoneller olduğunu açıkladı.
Microsoft verilerine göre korsanlar iki temel taktik izliyor. Bunlardan ilki, sahte Microsoft giriş ekranları vasıtasıyla kullanıcı hesaplarının şifrelerini ele geçirmek. İkincisi ise sahte güncelleme bildirimleri göstererek kişilerin tehlikeli yazılımları kendi elleriyle cihazlarına kurmalarını sağlamak.
Sisteme sızdırılan zararlı yazılımlardan CornFlake, cihazın uzaktan idare edilmesine, dosyalara ulaşılmasına, klavye hareketlerinin kaydedilmesine ve ses ile görüntü kaydının alınmasına yol açıyor. ChocoShell ise kaydedilmiş parolaları, internet tarayıcısı çerezlerini, kablosuz ağ anahtarlarını ve oturum belirteçlerini topluyor. Bununla beraber, sahte güncelleme ekranlarında Android telefon kullanıcılarını da zararlı yazılımlar indirmeye yönlendiren talimatlar bulunuyor.
Nisan ayında İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), APT28 grubunun güncelliğini yitirmiş ağ donanımlarını ve yönlendiricileri kullanarak internet trafiğini kontrol altına aldığını açıklamıştı. Microsoft ise son saldırıları, hükümetleri ve kritik önem taşıyan sektörleri hedef alan Midnight Blizzard (APT29 / Cozy Bear / BlueBravo) yapılanması içerisindeki Storm-2945 koluna bağladı.
ReliaQuest, tutsak portal altyapısı kullanan havalimanları, ortak çalışma ofisleri, üniversiteler, hastaneler ve etkinlik alanlarının da benzer tehlikelerle karşı karşıya olduğunu vurguladı.
