Microsoft: Midnight Blizzard alt grubu otel Wi-Fi ağları üzerinden Microsoft 365 hesaplarını hedefliyor

Microsoft, otel ve konferans merkezlerindeki misafir Wi-Fi ağlarını hedef alan küresel bir kampanyayı 31 Temmuz 2026'da duyurdu. CaptiveCrunch adı verilen operasyon, Microsoft'un Storm-2945 olarak izlediği ve Rusya bağlantılı Midnight Blizzard (APT29) grubunun alt kümesi olarak değerlendirdiği aktöre atfediliyor. Microsoft'a göre kampanya en az Mayıs 2026 başından beri sürüyor.

Karşılama portalları silaha dönüştü

BleepingComputer'ın aktardığına göre saldırganlar, karşılama portalı (captive portal) ekipmanıyla hizmet verilen ağlarda DNS ve HTTP trafiğini manipüle ediyor. Ağa bağlanmaya çalışan kullanıcılar üç farklı tuzağa yönlendirilebiliyor:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• Sahte Microsoft 365 oturum açma sayfaları
• Microsoft Entra ID akışlarını kötüye kullanan cihaz kodu (device code) oltalama sayfaları
• ClickFix tarzı komutlarla zararlı yazılım yükleten sahte tarayıcı ve işletim sistemi güncellemeleri

Bazı sayfalarda Android cihazlara yönelik APK dosyaları da sunulduğu belirtiliyor. İlk erişim yöntemi belirlenemedi; ancak Microsoft, tekil cihazlar yerine paylaşılan altyapıda ihlal izleri gördüğünü ifade ediyor.

CornFlake ve ChocoShell

Kampanyada iki özel zararlı yazılım ailesi kullanıldı. Go ile yazılmış CornFlake, uzaktan komut çalıştırma, tuş kaydı, ekran görüntüsü, mikrofon ve kamera izleme ile Microsoft 365 oturum token'larını çalma gibi yeteneklere sahip. Bellekte çalışan bir PowerShell aracı olan ChocoShell ise tarayıcı çerezlerini, kayıtlı parolaları, Microsoft 365 ve Azure AD token'larını ve Wi-Fi kimlik bilgilerini hedefliyor.

Microsoft, koddaki yoğun açıklama satırlarına dayanarak her iki zararlının da büyük olasılıkla yapay zekâ araçlarıyla geliştirildiğini değerlendiriyor.

Ne yapılmalı?

• Otel, havalimanı ve konferans Wi-Fi ağlarını güvenilmez kabul edin; mümkünse mobil veri veya kurumsal bağlantı kullanın.
• Karşılama portallarında sunulan yazılım veya güncellemeleri asla yüklemeyin.
• Oltalamaya dayanıklı MFA ve passkey kullanımına geçin.
• İhtiyaç yoksa Microsoft Entra'da cihaz kodu kimlik doğrulama akışını kapatın.
• Misafir Wi-Fi kaydı için kurumsal kimlik bilgilerini kullanmayın.