هک وایفای هتلها برای سرقت اکانت مایکروسافت ۳۶۵
خلاصهٔ کاملتر
به گزارش شرکت امنیتی ReliaQuest، دستکم از ژوئن ۲۰۲۶ مهاجمها به تجهیزات وایفای هتلها و مراکز کنفرانس نفوذ کردن و تنظیمات DNS گیتوی رو عوض کردن تا کاربرها رو به پورتالهای جعلی ورود مایکروسافت ۳۶۵ بفرستن. گیتویهای دستکاریشده تو چند شهر آمریکا و همینطور هند و عربستان دیده شدن و قربانیها از خدمات مالی، حقوقی، درمانی، انرژی و خردهفروشی بودن؛ یعنی هدف یه صنعت خاص نبوده، بلکه کارمندهای در سفر بودن.
به گفتهٔ محققها هنوز معلوم نیست دسترسی اولیه چطور به دست اومده، ولی احتمال میدن رابطهای مدیریتی در معرض اینترنت مثل SSH، SNMP یا داشبورد وب با محافظت ضعیف — یا یه آسیبپذیری — نقطهٔ ورود بوده باشن. بعد از گرفتن دسترسی مدیر، مهاجم میتونه ترافیک دامنههای معتبر رو به زیرساخت خودش برگردونه؛ برای همین دستکم چهار دامنه برای بالا آوردن صفحههای ورود قلابی مایکروسافت ثبت شده بود.
مهمترین بخش ماجرا دور زدن احراز هویت چندمرحلهایه. تو بخشی از حملهها قربانی به صفحهای میرسه که ازش میخواد یه درخواست ورود رو تأیید کنه، ولی چیزی که نمیبینه اینه که اون نشست رو خود مهاجم شروع کرده. با تأیید کاربر، یه توکن OAuth معتبر برای کلاینت مهاجم صادر میشه؛ بدون اینکه رمزی دزدیده یا توکنی شنود بشه، MFA عملاً بیاثر میشه.
تقریباً تو یکسوم موارد بررسیشده هم سوءاستفاده از WPAD دیده شده: مهاجم به جستوجوی خودکار ویندوز با یه فایل PAC مخرب جواب میده تا ترافیک برنامهها از پراکسی خودش رد بشه، هرچند ReliaQuest نتونسته موفقیت این بخش رو تأیید کنه. نکتهٔ مهم دیگه اینه که DNS عمومی مثل 8.8.8.8 هم جلوی حمله رو نمیگیره، چون گیتوی درخواست متنساده رو قبل از رسیدن به ریزالور جعل میکنه. توصیهٔ ReliaQuest هم روشنه: VPN همیشهروشن با تونل کامل و DNS رمزنگاریشده تو حالت strict، بهعلاوهٔ غیرفعال کردن WPAD، مرور لاگها و خاموش کردن جریان Device Code تو Microsoft Entra ID وقتی لازم نیست.
نکات کلیدی:
- تغییر DNS گیتوی وایفای هتل، کاربر رو به پورتال جعلی مایکروسافت ۳۶۵ میبره
- جریان Device Code به مهاجم توکن معتبر میده و MFA رو دور میزنه
- DNS عمومی جلوی حمله رو نمیگیره، چون جعل قبل از ریزالور رخ میده
- VPN تمامتونل همیشهروشن و DNS رمزنگاریشده بهترین دفاعان
- غیرفعال کردن WPAD و Device Code در Entra ID سطح حمله رو کم میکنه
