ゲストネットワーク上で識別困難になった認証要求

object

宿泊施設・会議施設などのゲストネットワークへの接続中に、Microsoft 365の認証、検証処理、ソフトウェア更新に見える画面が表示され、利用者の入力または承認を経て認証情報の取得やマルウェア導入へ接続する攻撃が確認された。

notes

• 攻撃活動は、宿泊施設や共有施設で使用されるゲストネットワークおよびキャプティブポータルを経由していた。
• 攻撃者は、事前のフィッシングメールや利用者端末への侵入を行わずに、ネットワークトラフィックを操作して偽のサインイン画面へ誘導する経路を使用していた。
• 偽の検証画面、サインイン要求、ソフトウェア更新表示は、利用者が施設のゲストネットワークへ接続している途中に表示されていた。
• 一部の攻撃経路では、Microsoftの正規のデバイスコード認証画面が使用されていた。
• 攻撃者が開始したサインイン要求に対し、利用者が提示されたコードを入力して承認すると、攻撃者側のセッションへ有効な認証トークンが発行される可能性があった。
• この経路では、攻撃者が利用者のパスワードや多要素認証情報を直接取得せずに、Microsoft 365アカウントへ接続できる場合があった。
• Windows Updateを装った表示から、遠隔操作型マルウェア「CornFlake」を導入する経路も報告されていた。
• CornFlakeには、認証情報やセッショントークンの取得、キー入力の記録、ファイル収集、スクリーンショット取得、音声・映像機能の使用、継続的アクセスの機能があるとされた。
• Android端末向けAPKファイルの導入手順を表示する類似経路の兆候も報告されていた。
• 被害対象として、ホテルだけでなく、会議センターやその他の公共施設が挙げられていた。
• 表示された要求には、施設ネットワークへの接続、Microsoftアカウント認証、端末の検証、ソフトウェア更新という異なる処理が含まれていた。
• 構造仮説：異なる処理主体による要求が、利用者側ではゲストネットワーク接続中に連続して表示される画面として現れている。
• 構造仮説：認証要求の表示場所と、認証要求を開始した主体が一致しない経路が形成されている。
• 構造仮説：利用者が確認できる画面上の情報と、承認結果が付与されるセッションとの間に観測範囲の差がある。
• 記事では、実際の被害件数、攻撃成功率、個別施設への侵入方法、利用者ごとの操作履歴は示されていない。
• 記事はMicrosoftおよびReliaQuestの調査内容を紹介しており、元調査資料の全記録を直接確認した観測ではない。

implications

• ネットワークへの接続場所と、接続中に表示される認証要求の開始主体との関係が、認証環境の観測対象になり始める可能性がある。
• 認証画面が正規のサービス上に存在する場合でも、認証要求の開始元と認証結果の到達先が異なる経路が、アカウント侵害へ作用し得る。
• 利用者に表示される一連の操作と、その背後にある処理主体・セッション・権限移動との距離が、組織の認証運用へ影響し始める可能性がある。

questions

• ゲストネットワークへの接続中に表示される各要求について、要求を開始した主体はどの情報から識別できるか。
• 利用者が承認した認証結果は、どの端末・アプリケーション・セッションへ付与されたことを確認できるか。
• 接続画面、認証画面、更新画面が連続して現れるとき、それぞれの処理境界はどの段階で観測可能または観測不能になるか。