ホテルWi‑FiのMITM化で偽アップデート配信、CornFlake RATを投下——MicrosoftがStorm‑2945の作戦「CaptiveCrunch」を観測

今日の深掘りポイント

• キャプティブポータル直後の“プレVPN時間”を狙うDNS改ざんとオンパス介入が肝心要です。従来の「VPN推奨」だけでは穴が残る設計だと捉え直すべきです。
• 偽のブラウザ/OS更新は、企業の標準アップデート運用（WSUS/MDM/自動更新）と“必ずズレる”という事実を逆手に、検知・ブロックの戦術化が可能です。
• 攻撃は旅行・出張という行動文脈に密着。ゼロトラスト端末化に「トラベル・モード（権限/周辺機器/ダウンロード制限の一括切替）」を重ねるのが現実解です。
• MITRE ATT&CKでの想定はAdversary‑in‑the‑MiddleとUser Executionの合わせ技。コレクションはAudio/Video/Keyloggingの定番で、C2はWebプロトコルとみるのが筋です。
• 信頼性は高く、現に観測が継続していることから即応優先。新規性は中程度ながら、行動面の対策（ポータル経由DL禁止・DoH/DoT強制・RBI）でリスクを大きく削れます。

はじめに

出張先のホテルWi‑Fi——長年“危ない”と言われ続けてきた場所が、まさにオンパスの攻撃面として磨かれてきた印象です。Microsoftは、ホテル等の公共Wi‑FiでDNS応答を偽造し、偽のブラウザ/OS更新ページへ誘導してCornFlakeと呼ばれるRATを配る作戦を「CaptiveCrunch」と命名し、Storm‑2945（Midnight Blizzardの一部と見なされるサブクラスター）に紐づけて観測しています。観測は5月初旬から継続。具体的なホテル名やベンダー名は非公開です。
偽アップデートという古典的な誘導に、ネットワーク側のトラフィック操作を組み合わせることで、ユーザー行動の“小さな隙”を実用的な侵入径路へ変える。長期のスパイ活動を旨とする集団らしい、地に足のついたやり口です。

出典（Microsoftの報告を引用する二次情報）: The Hacker News

深掘り詳細

事実整理（確認できる範囲）

• 攻撃は公共Wi‑Fi（ホテル等）でのDNS応答偽造により、利用者を偽のブラウザ/OS更新ページへリダイレクトするものです。
• 配布されるCornFlakeはRATで、ウェブカメラ画像、マイク音声、キーストロークの取得機能を持ちます。
• この作戦はMicrosoftにより「CaptiveCrunch」として追跡され、Storm‑2945に帰属。Storm‑2945はAPT29/Cozy Bearとして知られるMidnight Blizzardのサブクラスターと位置づけられます（ホテル名や機器ベンダー名は非公表）。
• Microsoftは5月初旬から影響下ネットワークでのトラフィック操作を観測しています（被害規模は未公表）。
  出典: The Hacker News

インサイト（編集部の見立て）

• なぜ「ホテルWi‑Fi」か
  キャプティブポータルの存在が、OS/ブラウザが“通常と異なるネットワーク挙動”を一時的に許容する文化・実装を生みます。多くの組織で「VPN接続はログイン後」の運用が残るため、ポータル到達〜VPN確立の隙間に実効的な攻撃面が開きます。そこへDNS応答偽造（あるいはDHCP/ARP等のオンパス介入）を重ねる設計は理にかなっています。
• なぜ「偽アップデート」か
  ブラウザ/OS更新はユーザーが“許可/実行”する行動を伴いやすく、EDRやアプリ制御をすり抜けやすい瞬間です。一方で、企業の標準更新経路（WSUS/Intune/MDM/自動更新）と偽ページの挙動は必ず差異が出ます。ここを狙って「ポータル接続中は実行ファイルのダウンロード禁止」「アップデートは企業管理チャネル経由以外ブロック」「コード署名/ベンダー発行者の厳格検証」をセットで適用すれば、ユーザー承認を餌にした侵入を大幅に削れます。
• 攻撃の位置付け
  巧妙なゼロデイではなく、オンパス制御と社会工学の合わせ技。信頼性高く観測され、開始時期も明確で、実運用で再現性が高い。対策は行動・運用での潰し込みが効きやすく、今すぐの配置転換が成果に結びやすい案件です。

脅威シナリオと影響

以下はMITRE ATT&CKに基づく仮説シナリオです（技術要素は一般化。CornFlake固有の持続化・C2詳細は未公表のため断定を避けます）。

• シナリオA：出張中の役員端末を踏み台にする情報窃取

  1. 公共Wi‑Fi接続直後のオンパス介入（Adversary‑in‑the‑Middle: T1557、場合によりDHCP Spoofing: T1557.003やDNS応答改ざんの一態様としての通信改変）
  2. 偽の更新ページ提示 → ユーザー実行（User Execution: T1204.002、Drive‑by Compromiseの様相: T1189）
  3. RAT展開・持続化（例: Boot or Logon Autostart Execution: T1547.001、Masquerading: T1036）
  4. コレクション（Audio Capture: T1123、Video Capture: T1125、Keylogging: T1056.001、Screen Capture: T1113）
  5. C2/流出（Application Layer Protocol: Web—T1071.001、Exfiltration Over C2 Channel: T1041）
  6. 復帰後に社内アクセスし、認証情報・機密資料・会議音声の継続窃取へ

• シナリオB：開発者端末からの長期観測

  • 同様の侵入後、ソースコード・設計資料・会議録音を段階的に収集。開発環境やクラウド認証情報（ブラウザセッション）へ側面移動を試みる。

• シナリオC：外交/多国籍企業の出張者ピンポイント狙撃

  • 宿泊施設の特定フロア/VLAN等でオンパス化し、滞在ウィンドウのみ投下。検知を難しくしつつ接触率を高める。

影響面では、音声・映像・キーストロークの組み合わせが、従来の“ファイル/画面”中心のDLPの網からすり抜けるリスクを高めます。特に役員会議の音声や、二要素入力時のワンタイムコード読上げ・生体再登録フローなど、“目に見えない”情報の価値が相対的に上がる点を重視したいです。

メトリクス全体像からは、信頼性と即応性の高さ、実運用での実装容易性が読み取れます。裏を返せば、技術的“妙手”を待つのではなく、ポータル環境での行動制御・更新経路の厳格化・周辺機器アクセスの最小化という運用三点セットの導入が、最短距離でリスクを下げる手筋です。

セキュリティ担当者のアクション

• ポリシーとアーキテクチャ（“プレVPN時間”の埋め潰し）

  • キャプティブポータル接続状態を端末で検知し、その間は以下を強制する設計にします。
    • 実行可能ファイル（EXE/PKG/MSI/DMG/APP等）およびスクリプトのダウンロード禁止（ネットワークDLP/ブラウザ制御/EDRのネットワーク認識機能で実装）
    • ブラウザのアップデート・OS更新は許可せず（ユーザー教育＋技術ブロック）、企業管理チャネル（WSUS/Intune/MDM/自動更新）以外を恒常的に遮断
    • DoH/DoTのクライアント固定（企業のDoHエンドポイントへ強制）と、VPN確立前のDNS平文フォールバック抑止
  • Always‑On VPN/Device Tunnelの採用を再検討し、「ポータル通過に必要な最小ドメインのみをスプリット除外 → 直後に全トラフィックVPN化」の二段運用へ移行します。
  • リモートブラウザ分離（RBI）を“外部・未分類ネットワーク”に自動適用し、ダウンロードをオフにします。

• エンドポイント制御（“偽アップデート”の無効化）

  • Windows Defender Application Control（WDAC）/AppLockerで「更新プログラム実行は特定発行者・署名・パス（企業管理チャネル）に限定」。ブラウザ経由のアップデータ実行は拒否します。
  • ブラウザの自動更新は企業配布（MS Edge Enterprise/Chrome Enterprise/Firefox ESR）で一元管理し、ユーザー承認フローを排除します。
  • “トラベル・モード”プロファイルをMDMで用意し、以下を一括適用します。
    • ローカル管理者権限の一時剥奪
    • カメラ/マイクの既定無効化（業務必要時のみ例外申請）
    • 新規常駐化（タスク/サービス/Runキー）のブロックと高感度検知
    • 未知発行者のドライバ/カーネル拡張インストール禁止

• 検知・ハンティング（行動差分であぶり出す）

  • ネットワーク/プロキシログで「update」「browser」「driver」「security」「fix」等を含むダウンロードURLを、ベンダー公式ASN/証明書発行者以外から取得していないか抽出（正規ASや証明書のカタログ化を前提）。
  • EDRで次の挙動連鎖を検知ルール化：
    • ブラウザ（edge/chrome/firefox/safari）→ ダウンロードフォルダ → 新規実行 → タスク/サービス生成（Windows: イベント4698/7045、Sysmon ID 1/7/13 など）
    • 処理系経由でのマイク/カメラアクセス増加（EDRのAPIモニタやmacOS TCCログ）
    • 初訪問ネットワーク（ホテルAS）直後の新規C2ドメイン樹立（T1071.001相当の外向きHTTPSの新規対地）
  • キーロギング/画面・音声収集の振る舞い検知を高感度に。入力APIフックや常時スクリーンキャプチャの連続呼び出しパターンを監視します（T1056.001/T1113/T1123/T1125）。

• ユーザー教育（“違和感”の言語化）

  • 「ブラウザやOSの更新がウェブページから求められることはない。更新は設定アプリや企業管理のみ」が鉄則であることを短く繰り返し伝えます。
  • キャプティブポータル通過中は“何もダウンロードしない”“ログイン以外の操作をしない”。必要ならモバイル回線へ一時的に切替える運用を促します。
  • 自己申告のしやすさ向上：ホテルWi‑Fi利用中に見慣れぬ更新要求が出たら、ワンクリックでSecOpsに通報・隔離できるショートカットを配布します。

• 事後対応（疑義端末の安全な帰還）

  • 出張からの帰還時に“検疫ネットワーク”へ一旦収容し、フルスキャンと自動再プロビジョニング（再イメージ/Secretローテーション）を短時間で回せる整備を。旅行者の端末は“戻ったら初期化が常識”くらいの回転速度で作ると、スパイ型の残存リスクが激減します。

参考情報

• ニュース報道（Microsoftの観測を引用）: Hijacked Hotel Wi‑Fi Pushes Fake Browser Updates to Distribute CornFlake RAT – The Hacker News
• MITRE ATT&CK: Adversary‑in‑the‑Middle (T1557) https://attack.mitre.org/techniques/T1557/
• MITRE ATT&CK: DHCP Spoofing (T1557.003) https://attack.mitre.org/techniques/T1557/003/
• MITRE ATT&CK: Drive‑by Compromise (T1189) https://attack.mitre.org/techniques/T1189/
• MITRE ATT&CK: User Execution – Malicious File (T1204.002) https://attack.mitre.org/techniques/T1204/002/
• MITRE ATT&CK: Keylogging (T1056.001) https://attack.mitre.org/techniques/T1056/001/
• MITRE ATT&CK: Audio Capture (T1123) https://attack.mitre.org/techniques/T1123/
• MITRE ATT&CK: Video Capture (T1125) https://attack.mitre.org/techniques/T1125/
• MITRE ATT&CK: Screen Capture (T1113) https://attack.mitre.org/techniques/T1113/
• MITRE ATT&CK: C2 over Web Protocols (T1071.001) https://attack.mitre.org/techniques/T1071/001/
• MITRE ATT&CK: Exfiltration Over C2 Channel (T1041) https://attack.mitre.org/techniques/T1041/

最後に。この種の作戦は、最新のゼロデイに頼らずとも「旅行」という生活文脈に密着して成功率を高めてきます。だからこそ、技術的な妙技よりも、運用の継ぎ目を埋める設計変更が最初の一手です。ポータル中は落とさない、更新は企業チャネルだけ、そして“戻ったら初期化”。この地味だが確かな三箇条で、CaptiveCrunchの刃先は大きく鈍ります。次の出張が始まる前に、現場で回る形に落としておきたいところです。