Gasten van hotels die het aanwezige wifi-netwerk gebruiken zijn niet alleen het doelwit van phishingaanvallen, ook wordt geprobeerd om hun systemen met malware te infecteren, zo meldt Microsoft. Daarbij zijn naast Windowscomputers ook Androidtelefoons mogelijk het doelwit. Onlangs waarschuwde cybersecuritybedrijf ReliaQuest voor aanvallers die wifi-gateways van hotels en conferentiecentra wereldwijd hacken, om zo Microsoft 365-accounts te stelen.

Volgens de onderzoekers worden de gateways en routers door middel van zwakke of hergebruikte inloggegevens gehackt. Zodra de aanvallers toegang tot de gateway hebben worden DNS (Domain Name System)-instellingen aangepast. Via de aangepaste DNS-instellingen hebben de aanvallers deels controle over het verkeer van gebruikers. Wanneer gebruikers van de betreffende wifi-gateway vervolgens de inlogpagina van Microsoft willen bezoeken worden ze automatisch doorgestuurd naar een phishingpagina van de aanvallers.

De gebruikte phishingdomeinen bevatten onder andere de tekst 'ms365' en 'm365' en lijken identiek aan de echte Microsoft-inlogpagina, wat de kans op een succesvolle phishingaanval vergroot. Microsoft laat nu weten dat de aanvallers ook malware verspreiden. Gebruikers worden via de gehackte wifi-routers doorgestuurd naar malafide pagina's waar zogenaamde 'updates' voor de browser of het besturingssysteem worden aangeboden. In werkelijkheid gaat het om malware.

Het komt ook voor dat gebruikers het doelwit van een ClickFix-aanval worden. Hierbij moeten gebruikers een commando op hun systeem uitvoeren om een CAPTCHA op te lossen of een 'probleem' te repareren. Het commando zorgt echter voor het downloaden en uitvoeren van malware. De ClickFix-pagina bevat ook instructies voor Androidtelefoons voor het downloaden en installeren van een APK-bestand.

De malware in kwestie steelt wachtwoorden en session tokens, slaat toetsaanslagen op, bespioneert gebruikers via hun webcam en microfoon, monitort op usb-sticks en scant die, geeft aanvallers via een remote shell toegang tot het systeem, monitort en steelt data uit het clipboard en verzamelt een groot aantal bestanden. Daarbij worden per keer duizend bestanden of vijfhonderd megabyte geupload.

Device code phishing
De gehackte wifi-routers worden ook gebruikt voor 'device code authentication' phishing. Microsoft biedt 'device code authentication' voor apparaten met beperkte invoermogelijkheden, zoals bijvoorbeeld smart-tv's, internet of things-apparaten en printers. Een gebruiker moet hiervoor een aparte code door Microsoft laten genereren en die vervolgens bij het inloggen opgeven. Microsoft zal dan een token genereren waarmee het 'invoer beperkte' apparaat kan inloggen.

Bij device code phishing zijn het echter de aanvallers die een device code laten genereren. Deze device code sturen de aanvallers, bijvoorbeeld als onderdeel van een phishingmail, samen met een link naar een echte Microsoft-inlogpagina, naar het slachtoffer. Het slachtoffer logt vervolgens via de officiële Microsoft-inlogpagina in en vult daarbij de opgegeven device code in.

Vervolgens genereert Microsoft een token voor het apparaat dat de device code had opgevraagd. De aanvallers gebruiken vervolgens dit token om op het Microsoft-account van het slachtoffer in te loggen en zo bijvoorbeeld vertrouwelijke informatie te stelen of verdere aanvallen uit te voeren. Bij de dns-aanvallen worden slachtoffers doorgestuurd naar een phishingpagina waarop de betreffende device code is te zien, alsmede een echt Microsoft-inlogvenster om de code in te voeren.

Volgens Microsoft moeten reizigers wifi-netwerken van hotels, conferentiecentra, luchthavens en ander locaties als onbetrouwbaar beschouwen. In plaats van deze wifi-netwerken te gebruiken adviseert het techbedrijf het gebruik van mobiele hotspots en de eigen mobiele verbinding. Tevens raadt Microsoft af om software-updates, certificaten, browser-updates, network troubleshooting tools of securitytooling te downloaden die via captive portals of andere onverwachte vensters en meldingen worden aangeboden.