最近出差的注意！酒店、机场Wi-Fi别乱连了，黑客正在批量盗号

经常出差的朋友，连酒店、机场的公共Wi-Fi的时候要小心了。

微软最新发布安全警告，呼吁企业、商务旅客在酒店、会议中心、机场等公共Wi-Fi环境中保持高度警戒，并将这些网络视为“不可信来源”。

据悉，目前一场与俄罗斯黑客相关的全球性攻击行动，正利用遭入侵的Wi-Fi网络窃取Microsoft 365帐号密码，并向Windows 设备植入恶意程序。

据微软透露，这波代号CaptiveCrunch的全球攻击，自5月初以来已在全球多国的“强制登录页面”（Captive Portal）网络中出现。

它来自俄罗斯黑客组织Midnight Blizzard旗下分支Storm-2945，核心目标就是频繁出差的商务人群。

攻击者会先攻陷酒店、会议中心、机场的Wi-Fi网关，利用设备暴露的SSH、SNMP或Web管理面板等薄弱接口拿到权限，直接篡改网关DNS设置。

用户连网后，正常的Microsoft 365登录请求会被偷偷重定向到钓鱼域名，页面被伪装成官方登录窗口、系统更新提示或身份验证界面。

由于篡改发生在网关层面，即便手动设置公共DNS也无法防御 ，DNS请求还没到达公共解析器，就已经被网关篡改。

假页面从正规Wi-Fi登录流程中弹出，普通用户几乎无法分辨，极易在不知情中输入账号信息或下载恶意文件。

更值得警惕的是，这波攻击可以绕过多重验证。

攻击者利用微软官方的设备代码验证流程，先在后台发起登录请求，再诱骗受害者在弹出的页面中输入指定验证码。

一旦受害者确认，系统就会向攻击者签发有效的OAuth登录令牌。全程无需窃取密码，也不用破解多因素验证（MFA），就能直接获取账号访问权限。

得手后，攻击者会向设备植入恶意程序。其中CornFlake是一款功能完备的Windows远程访问木马，可窃取凭证与会话令牌、记录键盘输入、窃取本地文件、截取屏幕，还能调用麦克风与摄像头进行监控，并实现系统持久化驻留。

另一款ChocoShell为内存级PowerShell窃密工具，专门窃取Microsoft 365、Azure AD令牌及设备保存的Wi-Fi密码。

除 Windows设备外，攻击者也已针对Android设备采用同类诱导手法，传播恶意APK文件。

此外微软确认，该攻击组织已使用AI工具辅助攻击行动，本次调查也得到了Anthropic与OpenAI的协作支持。

目前攻击已波及美国、印度、沙特阿拉伯等多个国家，覆盖不同行业，没有特定行业偏向，所有频繁接入公共网络的出差人员都是目标群体。

面对此类风险，微软强烈建议经常出差的旅客采取以下防御措施：

1、拒绝信任公共Wi-Fi：酒店、会议中心、机场及其他共享Wi-Fi环境，都不应被视为完全可信的来源。

2、优先使用个人移动蜂窝网：尽量改用手机热点、移动蜂窝网或其他安全的私人连接方式上网。

3、防范假更新：绝对不要通过Wi-Fi的Captive Portal强制登录页面下载任何软件或系统更新。