ホテルなどのWi-Fiのキャプティブポータルを使ったマルウェア配布

報告の内容

Microsoftはこの活動をCaptiveCrunchと名付けた⁠［1］。4月に公表したForest BlizzardのDNS乗っ取りの活動と手口に類似点はあるものの、Storm-2945に帰属させた⁠［1］。

Microsoftの報告によると、Storm-2945はMidnight Blizzardの作戦上のサブクラスターである⁠［1］。根拠の1つは、デバイスコードとOAuthコードのフィッシングで2025年を通じて追跡したStorm-2372との技術的な類似である⁠［1］。Microsoft Graphを使ったメールの持ち出し、商用メッセージアプリでのソーシャルエンジニアリング、被害者の傾向の類似も挙げた⁠［1］。

Microsoftは同じ7月31日、2025年2月13日に出したStorm-2372の報告に追記し、Storm-2372をMidnight Blizzardの初期侵入のサブクラスターと評価した⁠［14］。当初の報告では、Storm-2372がロシアの利益と手口に沿うと中程度の確度で評価していた⁠［14］。

Midnight Blizzardは米英の政府がロシア連邦対外情報庁（SVR）に帰属させたロシアの攻撃者である〔注1〕⁠［1］。主に米国と欧州の政府・外交機関・NGO・ITサービス事業者を狙う⁠［1］。

Microsoftが観測した手口では、Storm-2945は中間者の立場を使い、利用者を攻撃者のフィッシング基盤へ誘導した⁠［1］。ブラウザーが自動で出す接続確認への応答として、ブラウザーやOSの更新を装うマルウェアも届けた⁠［1］。攻撃者の基盤は、さまざまなClickFixの手口で利用者にマルウェアをダウンロード・実行させている⁠［1］。誘導ページにはAndroid端末にAPKファイルを入れさせる指示もあり、Microsoftは同様の手口でAndroid端末も狙っている可能性があるとした⁠［1］。

配られたマルウェアと管理パネル

CornFlake〔注3〕は、Goで書かれた多機能のWindows用の遠隔操作型トロイの木馬（RAT）で、Storm-2945の主要な常駐型のインプラントだとMicrosoftは説明した⁠［1］。初回の実行時はWindows Updateなどを装う偽の進行状況の画面を出し、その間に自身を複製して常駐の設定をする⁠［1］。収集の対象は、キー入力（パスワード欄を含む）、クリップボード、画面、マイク、Webカメラ、ブラウザーのCookieと保存パスワードである⁠［1］。ほかにファイルの持ち出し、USBの監視、端末の防御状況の調査、遠隔シェルの機能を持つ⁠［1］。

保存パスワードの窃取には、ChromeのApp-Bound Encryptionの回避も含む⁠［1］。Microsoftは報告の更新で、情報窃取型のマルウェアを配った例ではCornFlakeのRust版を観測したと書いた⁠［1］。その版には、AIを使った開発の継続と整合する特徴があるとした⁠［1］。

ChocoShellは、メモリー上だけで動くPowerShellの情報窃取ツールである⁠［1］。ブラウザーのセッションCookie、保存パスワード、Microsoft 365のシングルサインオンのトークン、Wi-Fiの認証情報を大量に盗む⁠［1］。.NETのリフレクションでAMSIを無効にし、3種のUACの回避を順に試す⁠［1］。

Microsoftは、スクリプトの一貫した書き方と説明のコメントから、作成者がAIによるコード生成を使った可能性があるとした⁠［1］。Storm-2945がこれらの活動の相当部分でAIを使っているのも観測した⁠［1］。

運用者は、FruitStoneと呼ぶWebのC2パネルで活動の基盤全体を管理する⁠［1］。パネルは「CloudSync Console」を名乗り、正規の管理ソフトを装う⁠［1］。侵害した端末の管理、新しいペイロードの作成と展開、集めた画面・キー入力・ブラウザーの認証情報の閲覧を1か所で行える⁠［1］。プロキシの中継、ビーコンの設定、ステージングサーバーの3層の基盤もここで管理する⁠［1］。

認証フローへの誘導

Microsoftの説明では、デバイスコード認証は通常のサインインができない機器のための正規のOAuthの手順である⁠［1］。攻撃者が始めた認証の要求のコードを利用者が正規のページに入力すると、利用者は自分ではなく攻撃者のセッションを認証することになる⁠［1］。CaptiveCrunchの誘導ページの一部は利用者をこのフローに誘導し、正規のMicrosoftのサインインページにデバイスコードを入力するよう指示しうる⁠［1］。

Microsoftは、ReliaQuestが報告したとおり、活動の一部がMicrosoftのオンラインサービスを模したドメインを使うと記した⁠［1］。そのドメインで、Microsoft Entra IDのデバイスコード認証のフローを悪用する中間者型のフィッシングを行っている⁠［1］。手口は2024年8月からMidnight Blizzardが行ってきたデバイスコードのフィッシングと整合し、根本的に新しいものではないとした⁠［1］。キャプティブポータルと通信操作に組み込むことで、利用者が認証の要求を正規と受け取る可能性が高まりうるとも評価した⁠［1］。

DNSポイズニングの手口と評価

ReliaQuest Threat Researchの7月23日の報告では、攻撃者がホテル・会議場などの共用施設の公衆Wi-Fiゲートウェイを侵害し、出張中の企業社員のアカウントを乗っ取っていた⁠［2］。活動は少なくとも6月から続いている〔注2〕⁠［2］。

ReliaQuestによると、攻撃者は侵害した機器の設定を変え、DNSポイズニングで正規のドメインへの接続を攻撃者の基盤へ流した⁠［2］。ゲートウェイは接続するすべての端末にDHCPで割り当てられるDNSリゾルバーを兼ねる⁠［2］。管理権限を得れば、任意のドメインの問い合わせに攻撃者のIPアドレスで答えられる⁠［2］。機器はネットワークの全ゲストの境界にあり、1台の侵害でその日に接続した全ゲストの通信を誘導できる⁠［2］。

Googleの公開DNS（8.8.8[.]8）のようなリゾルバーを固定した端末も、要求が暗号化されずに出るため守られないとReliaQuestは書いた⁠［2］。システムのサービスを対象にしない端末のDNS暗号化ツールも穴を残す⁠［2］。防げるのは、フルトンネルVPNと、平文への切り戻しを無効にした厳格モードの暗号化DNSだとした⁠［2］。観測した例のおよそ3分の1では、攻撃者はWPADの悪用も試みたが、成功は確かめられなかった⁠［2］。

攻撃者が登録したm365-owa[.]comなど4つのドメインは2つのIPアドレスで運用され、Microsoftを装う誘導に使われた⁠［2］。ReliaQuestは7月23日、そのうちms365-device[.]comの配下に、運用者向けの管理パネルとみられる内容を観測した⁠［2］。ページの差し替え、配布ファイルの管理、訪問者の記録、IPアドレスの許可リストの機能を持つ⁠［2］。Microsoftの侵害の指標とハンティングの手引きにも、この4つのドメインと2つのIPアドレスが含まれる⁠［1］。

ReliaQuestは、この手口がロシア軍の情報機関のグループAPT28（Fancy Bear、Forest Blizzard）のものに似ていると評価した⁠［2］。ただし直接は帰属させず、評価が手口の重なりにとどまることを理由に挙げた⁠［2］。共有の基盤、コードの再利用、運用者の失敗のような直接の技術的な結び付きは無いとした⁠［2］。

ReliaQuestの報告では、この活動を4月に妨害されたFrostArmadaそのものとも評価していない⁠［2］。違いとして、ホテル・会議場のキャプティブポータルの機器を狙うことと、ドメインの登録とIPアドレスが過去のAPT28の基盤と合わないことを挙げた⁠［2］。キーワードで選ばず、全DNS要求を不正な基盤へ解決させた点も異なる⁠［2］。

AI事業者の検知と報告

Anthropicの脅威情報の報告によると、Claudeを使った攻撃者GTG-20006は、ホテルのゲスト用Wi-Fiを運用する接客業のベンダー少なくとも3社を侵害した⁠［3］。目的は標的に間接的に達することで、手口は侵害した管理者の認証情報でDNSレコードを書き換え、攻撃者のサービスへ向けるものである⁠［3］。

侵害されたベンダーを使うホテルのWi-Fiに接続した宿泊客は、通信・端末の識別子・IPアドレスを攻撃者のサーバーに送られた⁠［3］。その段階で仕掛けられたのが、Windows・Android・iOSのマルウェアを配るClickFix型の誘導である⁠［3］。攻撃者は、ホテルの管理システムから盗んだ宿泊客の情報と宿泊客の端末から盗んだデータを組み合わせて標的を絞った⁠［3］。特に政府関係者やドローン製造者など、ウクライナに関わる人物を狙った⁠［3］。

Anthropicは、GTG-20006の帰属がMidnight Blizzardに結び付ける公開の報告と整合するとした⁠［3］。この窃取とマルウェア配布の方法は、Microsoftが7月にCaptiveCrunchと呼んで報告したものだと記した⁠［3］。The Recordは9月11日の記事で、AnthropicがClaudeを使ったロシアに関係するサイバー諜報のグループを検知・妨害したと発表したと報じた⁠［9］。

目次へ

時系列

目次へ

根拠と範囲

Microsoftはこれまでに、複数の国で、接客業の組織とキャプティブポータルの機器が使われるネットワークのWi-Fiの広範な侵害を確認した⁠［1］。影響を受けた複数のネットワークでは機器と管理システムに顕著な共通点があった⁠［1］。Microsoftは、活動が個々の施設の侵害にとどまらず、キャプティブポータルの生態系の一部で共有されたサービスへのアクセスを反映している可能性があるとした⁠［1］。

Microsoftの報告の更新では、活動の再開がBlack Lotus Labsの報告と整合すると評価した⁠［1］。その報告は、複数の接客業向けマネージドサービスプロバイダーが関わっていることを示唆する⁠［1］。Microsoftは、上流の事業者への継続したアクセスが素早い再展開を可能にした可能性が高いとも書いた⁠［1］。

ReliaQuestの報告によると、侵害されたWi-Fiゲートウェイは米国の複数の都市とインド、サウジアラビアで見つかり、主にホテル・接客業の組織のものだった⁠［2］。ゲートウェイへの通信は金融サービス・専門サービス・法律・医療・エネルギー・小売の組織から観測され、ReliaQuestは業種を絞った標的ではないとした⁠［2］。侵害された機器は主にホテルなどでキャプティブWi-Fiのサービスを運用する組織のアプライアンスだった⁠［2］。空港・会議場・コワーキングスペース・大学・医療施設・イベント会場などのキャプティブポータルの運用者も、同じ構造の攻撃面を持つとした⁠［2］。

ReliaQuestは低〜中程度の確度で、初期侵入の経路を推定した⁠［2］。インターネットに公開された管理インターフェース（SSH・SNMP・Webの管理画面）と、弱いか使い回しの管理者の認証情報の組み合わせである⁠［2］。個々の機器を見通せず、この仮説は確かめられなかったと書いた⁠［2］。

比較の対象になった4月の作戦は、CaptiveCrunchとは別の活動として2026年4月7日に公表された⁠［11、12、13、15］。Microsoftによると、Forest BlizzardとそのサブグループStorm-2754は少なくとも2025年8月から、脆弱なSOHO機器を大規模に悪用してDNS要求を乗っ取った⁠［13］。200を超える組織と5,000台の消費者向け機器が影響を受けたとした⁠［13］。

英国のNational Cyber Security Centre（NCSC）は、APT28をほぼ確実にロシア参謀本部情報総局（GRU）の26165部隊と評価した⁠［11］。悪用されたルーターの1つはTP-Link WR841Nで、CVE-2023-50224が使われた可能性が高いとした⁠［11］。

米司法省とFBIは同じ日、この部隊が侵害したSOHOルーターのネットワークの米国部分を、裁判所の許可を得た作戦（Operation Masquerade）で無力化したと発表した⁠［12］。LumenのBlack Lotus Labsはこの活動をFrostArmadaと呼び、2025年12月のピークに少なくとも120か国の1万8,000を超えるIPアドレスが基盤と通信したと報告した⁠［15］。

目次へ

関係者の対応

Microsoftは、特に移動中の端末を守れるよう知見を公表したと説明し、対策を推奨した⁠［1］。

• 移動中はホテル・会議場・空港などのゲスト用の無線ネットワークを信頼できないものとして扱う⁠［1］
• 可能ならモバイルのテザリング・衛星・eSIMなどの私的な接続を公衆Wi-Fiより優先する⁠［1］
• キャプティブポータルや予期しないWebの表示から提示されるソフトウェアの更新・証明書・ブラウザーの更新・ネットワークの診断ツール・セキュリティツールをダウンロードしない⁠［1］
• デバイスコードのフローは必要な場合だけ許し、可能な限り遮断する⁠［1］

ReliaQuestは、企業の端末で常時接続のフルトンネルVPNを強制すれば、DNSを含む全通信が企業のネットワークを経由し、この手口を事実上防げるとした⁠［2］。

Microsoftは調査への協力でAnthropicとOpenAIに謝意を示した⁠［1］。報告の更新では、活動の再出現の追跡での協力を挙げ、Google Threat Intelligence Group（GTIG）に礼を述べた⁠［1］。

目次へ

未公表の事項

• 被害を受けたホテル・会議場・Wi-Fiの運営事業者とキャプティブポータルの製造元の名
• キャプティブポータルのネットワークへの最初の侵入の経路（Microsoftは調査中と説明した⁠［1］）
• 被害を受けた施設と利用者の数、盗まれたアカウントの数
• 侵入に悪用された機器の脆弱性の有無
• 再開した活動の終息の有無

注

• 〔注1〕英国のNCSCなどは、APT29（Midnight Blizzard）をほぼ確実にSVRの一部であるサイバー諜報グループと評価している⁠［10］。
• 〔注2〕Microsoftの報告では、キャプティブポータルのネットワークでの通信操作の観測は5月上旬からである⁠［1］。
• 〔注3〕Google（Mandiant）は、金銭目的の攻撃者UNC5774が使うJavaScriptかPHPのバックドアをCORNFLAKE.V3として報告している⁠［16］。

出典

更新記録

• 2026年8月13日：公開した。
• 2026年9月11日：Anthropicの脅威情報の報告（出典3）とThe Recordの9月11日の記事（出典9）を加え、「報告の内容」にAnthropicの観測を加えた。
• 2026年10月5日：Microsoftの報告の10月5日の更新（出典1）で示された活動の再開、CornFlakeのRust版、Black Lotus Labsの報告との整合の評価を加え、リードと「報告の内容」「時系列」「根拠と範囲」「関係者の対応」を改めた。

目次へ