Pripojíte sa na hotelovú Wi-Fi, otvoríte prehliadač a čakáte na internet. Namiesto toho sa môže začať útok.

Predstavte si bežný začiatok služobnej cesty. Prídete do hotela, otvoríte notebook a pripojíte sa na Wi-Fi.

Internet však nejde. Namiesto stránky, ktorú ste chceli otvoriť, sa zobrazí upozornenie:

„Váš prehliadač potrebuje aktualizáciu.“

Alebo:

„Oprava sieťového ovládača zlyhala. Dokončite ju manuálne.“

Vyzerá to logicky. Veď práve riešite problém s pripojením. Lenže čo ak problém nie je vo vašom prehliadači?

Čo ak niekto ovplyvňuje samotnú cestu, ktorou sa pripájate k internetu?

Útok ešte predtým, ako začnete pracovať

Microsoft Threat Intelligence upozornil na kampaň CaptiveCrunch, pri ktorej útočníci manipulujú sieťovú komunikáciu v hoteloch a ďalších prostrediach využívajúcich takzvané captive portály.

Captive portal je stránka, ktorá sa zobrazí po pripojení na verejnú Wi-Fi a požiada vás napríklad o potvrdenie podmienok či prihlásenie. Sama osebe nie je problémom. Riziko vzniká vtedy, keď útočník ovplyvní, kam vás sieť pošle a čo vám zobrazí. Pri kampani CaptiveCrunch útočníci manipulovali DNS a HTTP komunikáciu a používateľov presmerovávali na vlastnú infraštruktúru.

Na obrazovke pritom nemusí byť nič dramatické. Len dôveryhodne pôsobiaca výzva, že na ďalšie používanie internetu potrebujete niečo aktualizovať alebo opraviť.

Aktualizácia, ktorú ste si nepýtali

Používateľ môže mať pocit, že rieši obyčajný technický problém. V skutočnosti však môže byť navádzaný na stiahnutie škodlivého softvéru alebo na manuálne vykonanie príkazov.

Útočníci využívajú aj techniku ClickFix. Jej princíp je jednoduchý: používateľa presvedčia, aby škodlivé kroky vykonal sám. Napríklad preto, že „aktualizácia zlyhala“ alebo „sieťový ovládač je potrebné opraviť manuálne“. Používateľ má pocit, že opravuje počítač.

V skutočnosti môže práve otvárať dvere útočníkovi.

Tentoraz nemusí prísť podvodný e-mail

Pri kybernetickej bezpečnosti často upozorňujeme na podozrivé odkazy, e-maily a prílohy. CaptiveCrunch však ukazuje iný scenár.

Podvodná môže byť samotná cesta na internet.

Hotel, letisko, konferenčné centrum či kaviareň sú prostredia, kde prirodzene očakávame prihlasovanie do Wi-Fi. Preto môže nečakaná technická výzva pôsobiť menej podozrivo.

A útok sa pri Wi-Fi nemusí skončiť

Microsoft pri kampani zaznamenal aj malvér CornFlake.

Ten môže zaznamenávať stlačené klávesy, sledovať schránku, vytvárať snímky obrazovky, získavať prihlasovacie údaje a cookies z prehliadačov či vyhľadávať a odosielať súbory zo zariadenia.

Z krátkeho pripojenia na hotelovú Wi-Fi sa tak môže stať problém, ktorý pokračuje aj po odchode z hotela.

Pri služobnom notebooku pritom nejde iba o súkromné údaje. V hre môžu byť pracovné účty, dokumenty, e-mailová komunikácia či prístup k systémom organizácie.

Cestujúci ako zaujímavý cieľ

Microsoft uvádza, že medzi ciele kampane patria aj firemní cestujúci a aktivita bola zaznamenaná v hoteloch, konferenčných centrách a ďalších zdieľaných priestoroch.

Na služobnej ceste pracujeme mimo bežného prostredia, pripájame sa do cudzích sietí a často sme pod časovým tlakom. Potrebujeme rýchlo odpovedať na e-mail, stiahnuť prezentáciu alebo sa pripojiť na videohovor. A práve vtedy môžeme ľahšie prehliadnuť nečakanú výzvu na aktualizáciu.

Služobná cesta však nie je prestávka od kybernetickej bezpečnosti.

Na cestách si zapamätajte

Ak sa po pripojení na hotelovú alebo inú verejnú Wi-Fi zobrazí neočakávaná požiadavka na aktualizáciu, inštaláciu programu alebo manuálne vykonanie príkazov, spozornite.

Aktualizácie spúšťajte prostredníctvom bežného a dôveryhodného mechanizmu operačného systému alebo aplikácie, nie cez náhodnú stránku po pripojení k Wi-Fi.

Pri pracovných zariadeniach používajte spôsob pripojenia a bezpečnostné nástroje schválené vašou organizáciou vrátane VPN, ak je určená na používanie.

A najmä:

legitímna hotelová Wi-Fi by od vás nemala vyžadovať, aby ste kvôli pripojeniu otvárali PowerShell, terminál alebo manuálne kopírovali a spúšťali príkazy.

Ak sa niečo také objaví, nepokračujte.

Internet funguje. Ale idete naozaj tam, kam chcete?

Moderný útok nemusí začínať hlasným varovaním.

Môže začať úplne obyčajne:

„Pripojené.“

A potom jedným nenápadným:

„Pre pokračovanie je potrebná aktualizácia.“

Preto pri najbližšej služobnej ceste nestačí skontrolovať iba názov Wi-Fi.

Skontrolujte aj to, čo od vás sieť po pripojení vlastne žiada.