CaptiveCrunch: Ρώσοι χάκερ στήνουν παγίδα στο Wi-Fi των ξενοδοχείων. Τι είναι και πώς να προστατευτείς

Το σενάριο σε μία εικόνα

Φαντάσου ότι είσαι σε ένα συνέδριο στο εξωτερικό. Ανοίγεις το laptop, συνδέεσαι στο Wi-Fi του ξενοδοχείου, πετάγεται η γνωστή σελίδα «αποδέξου τους όρους για να συνδεθείς». Όλα φυσιολογικά. Λίγο μετά, ο browser σου δείχνει ένα μήνυμα ότι χρειάζεσαι update. Το πατάς: γιατί να μην το πατήσεις; Και μόλις έδωσες σε μια ρωσική ομάδα κατασκοπείας τον έλεγχο του μηχανήματός σου και τα κλειδιά για τον εταιρικό σου λογαριασμό.

Αυτό δεν είναι υποθετικό. Είναι η επιχείρηση CaptiveCrunch, που αποκάλυψε η Microsoft Threat Intelligence στα τέλη Ιουλίου 2026. Επειδή αφορά ακριβώς όσους από εμάς ταξιδεύουν για δουλειά (και επειδή Eλληνικό υλικό πάνω της δεν θα βρεις εύκολα) αξίζει να το δούμε με απλά λόγια: τι γίνεται, πώς, και τι κάνεις γι’ αυτό.

📷 Εικόνα 1: Η παγίδα στήνεται εκεί που δεν το περιμένεις…στο «αθώο» captive portal του ξενοδοχείου.

Ποιος είναι από πίσω

Πίσω από το CaptiveCrunch βρίσκεται η Midnight Blizzard — μια από τις πιο γνωστές ρωσικές ομάδες κατασκοπείας, που δυτικές κυβερνήσεις συνδέουν με τη ρωσική υπηρεσία εξωτερικών πληροφοριών (SVR). Συγκεκριμένα, η δράση αποδίδεται σε έναν υπο-κλάδο της που η Microsoft παρακολουθεί ως Storm-2945.

Δύο πράγματα ξεχωρίζουν εδώ. Πρώτον, δεν μιλάμε για τυχαίους εγκληματίες που θέλουν λεφτά μιλάμε για κρατική κατασκοπεία με στόχο τη συλλογή πληροφοριών — κάτι που κάνει τον στόχο πιο επιλεκτικό αλλά και πιο επίμονο. Δεύτερον, η Microsoft αναφέρει ότι η ομάδα αξιοποίησε AI για να στηρίξει μεγάλο μέρος της επιχείρησης, π.χ. στη συγγραφή του κακόβουλου κώδικα. Το πεδίο άλλαξε: οι επιτιθέμενοι κλιμακώνουν πλέον με τα ίδια εργαλεία που χρησιμοποιούμε κι εμείς.

Πώς δουλεύει η επίθεση, βήμα-βήμα

Το έξυπνο κομμάτι είναι ότι εκμεταλλεύονται κάτι που όλοι θεωρούμε δεδομένο: το captive portal, τη σελίδα σύνδεσης των δημόσιων δικτύων.

📷 Εικόνα 2: Πέντε βήματα. Το κρίσιμο είναι το τρίτο — εκεί που εσύ, με το χέρι σου, τρέχεις το κακόβουλο.

Ας τα δούμε:

Οι επιτιθέμενοι πρώτα αποκτούν έλεγχο του δικτύου, του εξοπλισμού και του captive portal σε ξενοδοχεία, συνεδριακούς χώρους και άλλα κοινόχρηστα venues. Η Microsoft σημειώνει ότι οι ομοιότητες στον εξοπλισμό διαφορετικών δικτύων υποδηλώνουν ότι μπορεί να έχουν πρόσβαση σε κοινές υπηρεσίες του οικοσυστήματος, δηλαδή δεν χτυπούν ένα-ένα τα ξενοδοχεία, αλλά ίσως κάτι πιο κεντρικό.

Μόλις είναι μέσα, χειραγωγούν την κίνηση. Ξαναδρομολογούν DNS και HTTP ώστε η κίνησή σου να περνά μέσα από δική τους υποδομή. Αυτό λέγεται Adversary-in-the-Middle (AiTM): κάθονται στη μέση, ανάμεσα σε σένα και το internet, και βλέπουν ή αλλάζουν ό,τι περνά.

Εδώ έρχεται το πιο πονηρό. Ο browser σου, κάθε φορά που συνδέεσαι, κάνει αυτόματα έναν έλεγχο «έχω πραγματικά internet;». Οι επιτιθέμενοι απαντούν σε αυτόν τον έλεγχο με ένα ψεύτικο μήνυμα: «ενημέρωσε τον browser σου» ή «η επαλήθευση απέτυχε, ακολούθησε αυτά τα βήματα». Η τεχνική με τα «βήματα» λέγεται ClickFix, σε βάζουν να αντιγράψεις μια εντολή και να την τρέξεις μόνος σου σε PowerShell ή στο terminal. Έτσι, τεχνικά, δεν σε «χάκαραν» τους άφησες να μπουν.

📷 Εικόνα 3: Το ψεύτικο «update» που βλέπεις στην οθόνη είναι απλώς δόλωμα που σε κρατά απασχολημένο ενώ το κακόβουλο στήνεται από κάτω. (Δική μου αναπαράσταση, όχι screenshot.)

Το αποτέλεσμα είναι η εγκατάσταση malware και μετά η κλοπή: κωδικοί, session cookies και το χειρότερο, τα Microsoft 365 tokens που ανοίγουν την πόρτα στο cloud της εταιρείας σου.

Τα τρία εργαλεία τους

Δεν χρειάζεται να τα αποστηθίσεις, αλλά βοηθά να ξέρεις τι κάνει το καθένα, γιατί δείχνει το εύρος της ζημιάς.

📷 Εικόνα 4: Ένα για τον έλεγχο, ένα για την κλοπή, ένα για τη διαχείριση. Μια ολόκληρη «γραμμή παραγωγής».

Το CornFlake είναι το «αγκίστρι» που καρφώνεται στο μηχάνημα, ένα RAT (remote access trojan). Μόλις μπει, δείχνει ένα ψεύτικο παραθυράκι (π.χ. «Windows Update, μην κλείσετε τον υπολογιστή») για να σε απασχολήσει, ενώ στήνει τους μηχανισμούς επιμονής και μεταμφιέζεται σε νόμιμη υπηρεσία με το όνομα «Cloud Sync Service». Δίνει στον επιτιθέμενο keylogging, screenshots, πρόσβαση σε κάμερα και μικρόφωνο, κλοπή αρχείων και remote shell και ουσιαστικά, πλήρη έλεγχο.

Το ChocoShell είναι ο εξειδικευμένος «κλέφτης». Τρέχει στη μνήμη και κυνηγά ό,τι έχει τη μεγαλύτερη αξία: session cookies, αποθηκευμένους κωδικούς από τον browser, Microsoft 365 SSO tokens και κωδικούς Wi-Fi. Για να τα καταφέρει, απενεργοποιεί μηχανισμούς άμυνας των Windows (όπως το AMSI) και κάνει UAC bypass για να αποκτήσει δικαιώματα διαχειριστή.

Το FruitStone είναι το «ταμπλό ελέγχου» των επιτιθέμενων, ένα web panel απ’ όπου διαχειρίζονται όλα τα θύματα, φτιάχνουν νέα κακόβουλα payloads με λίγα κλικ και βλέπουν τα κλεμμένα δεδομένα. Είναι, μάλιστα, μεταμφιεσμένο σαν νόμιμο εταιρικό εργαλείο («CloudSync Console»), για να μη γίνεται αντιληπτό αν το ανακαλύψει κάποιος αμυνόμενος.

📷 Εικόνα 5: Το «ταμπλό ελέγχου» των επιτιθέμενων ντύνεται σαν αθώο εταιρικό SaaS, για να περνά απαρατήρητο.

Το πραγματικό πρόβλημα: η κλοπή των tokens

Αν κρατήσεις ένα μόνο πράγμα, ας είναι αυτό. Το πιο επικίνδυνο κομμάτι δεν είναι ο κλεμμένος κωδικός, είναι το κλεμμένο token.

Όταν συνδέεσαι στο Microsoft 365, ο browser σου κρατά ένα «εισιτήριο» (token) που λέει «αυτός ο χρήστης έχει ήδη περάσει επιτυχώς τον έλεγχο». Αν οι επιτιθέμενοι κλέψουν αυτό το εισιτήριο, μπορούν να μπουν στον λογαριασμό σου χωρίς κωδικό και, πολύ συχνά, χωρίς να τους σταματήσει το MFA, γιατί το «κλειδί» της συνεδρίας το έχουν ήδη στο χέρι.

Υπάρχει και ένα δεύτερο κόλπο στην ίδια λογική: το device code phishing. Σε ανακατευθύνουν σε μια πραγματική σελίδα σύνδεσης της Microsoft και σε πείθουν να πληκτρολογήσεις έναν κωδικό συσκευής που ελέγχουν εκείνοι. Έτσι, χωρίς να δώσεις πουθενά τον κωδικό σου, εγκρίνεις τη δική τους σύνδεση αντί για τη δική σου. Και επειδή το βλέπεις μέσα σε γνήσια σελίδα Microsoft, μοιάζει απόλυτα νόμιμο.

Γι’ αυτό, όταν λέμε «έχω MFA, είμαι καλυμμένος», δεν φτάνει πλέον. Το MFA προστατεύει τη στιγμή της σύνδεσης δεν προστατεύει αν κάποιος κλέψει τη συνεδρία μετά τη σύνδεση.

Γιατί σε αφορά, ακόμα κι αν δεν είσαι «στόχος»

Θα μου πεις: «εγώ δεν είμαι διπλωμάτης, γιατί να με χτυπήσει ρωσική υπηρεσία;». Δίκαιη ένσταση. Αλλά υπάρχουν δύο λόγοι που δεν σε αφήνουν να το προσπεράσεις.

Πρώτον, η ίδια η φύση της επίθεσης είναι ευκαιριακή στο δίκτυο. Δεν διαλέγουν εσένα προσωπικά αλλά μολύνουν το Wi-Fi ενός ξενοδοχείου και χτυπούν όποιον συνδεθεί. Αν βρεθείς εκεί τη λάθος στιγμή, μπαίνεις στη λίστα. Δεύτερον, οι τεχνικές (ψεύτικα updates, ClickFix, κλοπή token, device code phishing) δεν είναι αποκλειστικότητα των Ρώσων είναι πλέον κοινό εργαλείο για κάθε είδους επιτιθέμενο, από κρατικό μέχρι απλό εγκληματία που θέλει το ransomware payout.

Για όποιον κρατά τη σκυτάλη της ασφάλειας σε έναν οργανισμό και ειδικά κάτω από ένα πλαίσιο όπως το NIS2, όπου η διαχείριση κινδύνου και η ασφάλεια των εργαζομένων εν κινήσει είναι ρητή υποχρέωση, αυτό μεταφράζεται σε μια απλή αλήθεια: οι υπάλληλοί σου που ταξιδεύουν είναι κινητό attack surface, και το guest Wi-Fi πρέπει να θεωρείται εχθρικό εξ ορισμού.

Πώς προστατεύεσαι στην πράξη

Η καλή είδηση είναι ότι η άμυνα δεν είναι περίπλοκη. Είναι θέμα συνήθειας και μερικών σωστών ρυθμίσεων.

📷 Εικόνα 6: Τέσσερα «μη» και τέσσερα «κάνε». Αν περάσεις αυτά στην ομάδα σου, έκοψες το μεγαλύτερο μέρος του ρίσκου.

Σε επίπεδο συνήθειας, το πιο ισχυρό μέτρο είναι νοοτροπίας: αντιμετώπισε κάθε ξενοδοχειακό ή συνεδριακό Wi-Fi ως μη έμπιστο. Όπου γίνεται, προτίμησε mobile hotspot ή eSIM αντί για το δωρεάν δίκτυο. Και βάλε έναν απόλυτο κανόνα που δεν σπάει ποτέ: κανένα update, certificate ή «εργαλείο» δεν κατεβαίνει από captive portal ή popup. Τα updates γίνονται μόνο μέσα από το ίδιο το λειτουργικό σύστημα. Αν μια σελίδα σού ζητά να κάνεις copy-paste μια εντολή σε PowerShell, είναι επίθεση, τελεία και πάυλα.

Σε επίπεδο ρυθμίσεων ταυτότητας, τρία πράγματα κάνουν τεράστια διαφορά. Πέρασε σε passkeys και phishing-resistant MFA, που αντέχουν στο AiTM πολύ καλύτερα από το κλασικό MFA. Μπλόκαρε το device code flow με Conditional Access εκεί που δεν το χρειάζεσαι, είναι από τις πιο υποτιμημένες ρυθμίσεις και κόβει ολόκληρη κατηγορία επιθέσεων. Και ενεργοποίησε sign-in risk policies στο Microsoft Entra ID, ώστε μια ύποπτη σύνδεση (π.χ. από γνωστή κακόβουλη υποδομή) να μπλοκάρεται ή να ζητά επανα-authentication αυτόματα.

Τέλος, ένα απλό οργανωτικό μέτρο που ξεχνιέται: μην αφήνεις τον κόσμο να χρησιμοποιεί εταιρικά credentials σε σελίδες εγγραφής guest δικτύων. Το email της δουλειάς δεν είναι κλειδί για το Wi-Fi του λόμπι.

Indicators of Compromise (IOCs) για την ομάδα σου

Αν κρατάς τη σκυτάλη της άμυνας, βάλε τους παρακάτω δείκτες σε blocklist και σε hunting στο περιβάλλον σου. Είναι γραμμένοι «defanged» (με [.]) για ασφάλεια. Αντικατέστησέ τους κανονικά μέσα στα εργαλεία σου. Πηγή: Microsoft Threat Intelligence.

Δύο ακόμη πρακτικά σημάδια για hunting: το CornFlake εγκαθίσταται ως %APPDATA%\svchost32\svchost32.exe και δηλώνεται ως υπηρεσία με το ύποπτα «αθώο» όνομα Cloud Sync Service. Το ChocoShell επικοινωνεί με C2 χρησιμοποιώντας URI που μοιάζουν με tracking pixel (/t/pixel.gif). Η Microsoft δίνει έτοιμα KQL hunting queries για Defender XDR και Sentinel στο αρχικό της άρθρο.

Το takeaway

Το CaptiveCrunch δεν είναι κάτι εξωτικό. Είναι η φυσική εξέλιξη μιας πολύ απλής ιδέας: αν δεν μπορώ να σπάσω την πόρτα σου, θα σε πείσω να μου την ανοίξεις μόνος σου και θα το κάνω εκεί που έχεις χαμηλωμένες τις άμυνές σου, στο ξενοδοχείο, κουρασμένος, με τη βιασύνη του ταξιδιού.

Η αντίσταση είναι εξίσου απλή: δυσπιστία στα δημόσια δίκτυα, μηδενική ανοχή στα ClickFix, και ταυτότητα χτισμένη γύρω από passkeys και σωστό Conditional Access. Αν περάσεις αυτά τα τρία στην κουλτούρα της ομάδας σου, την επόμενη φορά που κάποιος δει το ψεύτικο «update your browser» σε ένα λόμπι, θα κλείσει το παράθυρο αντί να το πατήσει. Κι αυτό, στην πράξη, είναι όλη η διαφορά.

Πηγές

• CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft — Microsoft Security Blog
• Storm-2372 conducts device code phishing campaign — Microsoft
• Think before you ClickFix — Microsoft
• Block authentication flows with Conditional Access (device code flow) — Microsoft Learn
• Configure sign-in risk policies in Microsoft Entra ID Protection — Microsoft Learn

Αναφορές από την έρευνα

• ReliaQuest — Threat Spotlight: DNS Poisoning Tactics Expand to Hospitality
• Volexity — Multiple Russian Threat Actors Targeting Microsoft Device Code Authentication

Οι εικόνες του άρθρου είναι πρωτότυπα, δικά μου επεξηγηματικά διαγράμματα και αναπαραστάσεις και όχι screenshots από την πηγή.