Aldri koble til hotellets WiFi på ferie: Slik utnytter svindlere åpne nettverk

Kampanjen har fått navnet CaptiveCrunch, og Microsoft tilskriver den Storm-2945, en undergruppe av Midnight Blizzard som knyttes til den russiske utenlandsetterretningen SVR. Angrepene har foregått siden begynnelsen av mai og rammer særlig forretningsreisende som logger på trådløse nettverk på hoteller og konferansesentre.

Med august som norsk høyferie kommer advarselen midt i en periode der svært mange nordmenn kobler mobilen eller PC-en til nettopp den typen åpne nettverk.

Slik fungerer angrepet

Metoden utnytter det som kalles captive portals, altså innloggingssidene som dukker opp første gang du kobler deg til hotellets nett. Angriperne har manipulert DNS- og HTTP-trafikk på kompromitterte portaler slik at brukere sendes videre til falske Microsoft 365-innlogginger eller pop-ups som ligner ekte oppdateringer fra Windows, nettleseren eller antivirus.

Klikker den reisende «installer», lastes en Go-basert fjernstyringstrojaner kalt CornFlake ned. Ifølge Microsoft kan verktøyet «samle filer og tastetrykk, stjele påloggingsinformasjon og sesjonstokener og utføre lyd- og videoovervåking». En sekundær komponent, ChocoShell, henter ut nettleser-cookies, lagrede passord, Microsoft 365-tokener og lagrede WiFi-passord fra maskinen.

Les også: Motorola overrasker med Android 17: Her er alle telefonene som får oppdateringen snart

Sikkerhetsselskapet ReliaQuest bekrefter overfor Help Net Security at aktiviteten er observert i flere land, og at målet er å komme inn i bedriftskontoer via ansatte som reiser.

Hva du kan gjøre selv

Rådet fra Microsoft er direkte: behandle hotell- og konferansenett som utrygge, og bruk en privat forbindelse der det er mulig. Den enkleste løsningen for de fleste er å opprette et mobilt hotspot fra egen telefon i stedet for å ta hotellets nett i bruk. Da går trafikken gjennom mobilnettet, som er kryptert mellom telefon og basestasjon.

Trenger du likevel å bruke hotellets WiFi, anbefaler Microsoft å slå på flerfaktorautentisering og passnøkler på alle viktige kontoer, og å avvise oppdateringer eller sertifikater som blir servert via en innloggingsside. Selskapet advarer også mot å godkjenne påloggingsforespørsler basert på device code-flyten, som angriperne bruker til å kapre Microsoft-kontoer uten passord.

En VPN-tjeneste gjør trafikken uleselig for den som overvåker nettverket, og er et fornuftig ekstra lag når du må bruke et åpent nett. Vi har tidligere skrevet om hvordan en enkel innstilling på mobilen kan stoppe det klassiske hotellwifi-angrepet mot bankappen.

Les også: Musk planlegger verdens største bygg: Terafab skal produsere hjerner til Teslaer og roboter

Gratis VPN er ikke alltid et godt alternativ

Ikke enhver VPN gir den beskyttelsen navnet lover. Mange gratis-apper finansierer seg ved å selge brukerdata videre, og en fersk gjennomgang av VPN-apper avdekket at over halvparten fortsatt brukte utdatert krypteringskode.

Hvis du velger å bruke VPN på ferien, abonnerer du som regel på en anerkjent tjeneste. Alternativet, spesielt for kortere økter som nettbank eller e-post, er å slå av hotellnettet helt og gå via mobildata i stedet. Det koster litt datatrafikk, men gir en langt tettere linje enn et hotellnett som i verste fall er kapret av en statsstøttet gruppe.

Les også: Sykler tre kilometer under Løvstakken: Bergens fargelagte tunnel troner i verdenstoppen