侵害された公衆Wi-Fiが偽のアップデートを使って監視マルウェアを配信

侵害された公衆Wi-Fiが偽のアップデートを使って監視マルウェアを配信

The Hacker News – Aug 01, 2026

マイクロソフトは、乗っ取られた公衆Wi-Fi経由で配信された偽のブラウザアップデートが、リモートアクセス型トロイの木馬（RAT）「CornFlake」を拡散していると報告書の中で警告した。この活動は「CaptiveCrunch」と命名され、実行者はロシア関連APT「Midnight Blizzard（APT29、Cozy Bear）」のサブクラスター「Storm-2945」であるとみられている。

セキュリティ企業ReliaQuestは先日、Wi-Fiのキャプティブポータルゲートウェイが侵害された結果、ドメインネームシステム（DNS）の応答が偽造され、ノートパソコン上では自動接続チェックではなく、ブラウザやOSの偽アップデートページにリダイレクトされていると報告していた。

マイクロソフトも5月初旬から複数の国のホテルWi-Fiでトラフィック操作が行われていることを確認しており、特に7月16日以降、CaptiveCrunchのランディングページの一部が、マイクロソフトのデバイスコード認証フローにリダイレクトしていることを観測した。攻撃者が提供したコードをユーザーがマイクロソフトの正規サインインページに入力すると、攻撃者側のセッションに多要素認証（MFA）を満たすアクセス権限が付与される恐れがあるとのこと。被害の詳細や影響を受けた機器やシステム、プロバイダー名は非公開となっている。また、一部のページではClickFix攻撃が行われていたこともわかっている。

CornFlakeマルウェアは、画面上に偽の進行状況を示すウィンドウを表示。ユーザーの関心がこのウインドウに向いている間に自身を「%APPDATA%\svchost32\svchost32.exe」にコピーし、svchost32をWindowsサービスとして登録して、「Cloud Sync Service」と表示されるよう設定する。マイクロソフトによると、CornFlakeはスクリーンショットの保存、アクティブウィンドウのタイトルとクリップボードの内容の記録、ブラウザのCookie（ChromeのApp-Bound Encryptionで保護されたCookieを含む）や保存されたパスワードの窃取、外部記録媒体のスキャン、リモートシェルの開設を行うことができるだけでなく、レジストリの実行キーとスケジュールされたタスクを使用し、防御側が永続化メカニズムを無効化した場合にはwatchdogで復元する機能を有している。

また、PowerShellスティーラー「ChocoShell」も特定された。Microsoft 365やAzure Active Directoryのアクセストークンと更新トークン、Webアカウントマネージャー（WAM）トークンを収集するため、ブラウザのCookieがなくともセッションのリプレイが可能になるという。

回避策として、公衆Wi-Fiを利用する際に常時接続型VPNを使用することや、マイクロソフトの条件付きアクセスによるデバイスコード認証フローの制限を活用することなどが推奨されている。