Μια ευρεία εκστρατεία κυβερνοκατασκοπείας στοχεύει δίκτυα Wi-Fi σε ξενοδοχεία και συνεδριακά κέντρα για να υποκλέψει credentials και tokens σύνδεσης από τους χρήστες. Η ReliaQuest, εταιρεία κυβερνοασφάλειας, ανακάλυψε παραβιασμένα Wi-Fi gateways σε πολλές πόλεις των ΗΠΑ, καθώς και στην Ινδία και τη Σαουδική Αραβία. Τι πρέπει να κάνεις αν ταξιδεύεις, και γιατί δεν αρκεί ένα απλό VPN;
- Το κακόβουλο Wi-Fi δίκτυα «δηλητηριάζουν» τα DNS αιτήματα και ανακατευθύνουν τους χρήστες σε ψεύτικες σελίδες εισόδου της Microsoft για να κλέψουν credentials.
- Η ρωσική ομάδα APT28 (Fancy Bear) υπολογίζεται ότι βρίσκεται πίσω από την επίθεση, που ενδέχεται να επεκταθεί πέρα από ξενοδοχεία.
- Μόνο ένα Full-Tunnel VPN, ενεργοποιημένο σε όλες τις συσκευές και δεν απλά όταν χρειάζεται, μπορεί να σε προστατέψει.
Πώς λειτουργεί η επίθεση — DNS δηλητηρίαση
Αν έχεις ποτέ αναρωτηθεί τι κάνει το DNS (Domain Name System), σκέψου το ως το «τηλεφωνικό βιβλίο» του διαδικτύου. Όταν πληκτρολογείς στον browser «outlook.office.com», το DNS του router σου ψάχνει ποια IP address αντιστοιχεί σε αυτό το όνομα και σε ανακατευθύνει εκεί. Η δηλητηρίαση DNS είναι απλή: ο επιτιθέμενος αναχαιτίζει το ερώτημα του DNS και σου λέει ψέματα. «Θέλεις outlook.office.com; Μάλιστα — να η IP address μας, που φαίνεται πολύ σαν το πραγματικό».
Στη συγκεκριμένη περίπτωση, οι κακοποιοί ρύθμισαν τα παραβιασμένα Wi-Fi gateways ώστε να ανακατευθύνουν τις προσπάθειες σύνδεσης στην Microsoft. Οι χρήστες που προσπάθησαν να εισέλθουν στο Outlook ή τα Microsoft 365 apps βρήκαν τους εαυτούς τους σε ψεύτικες σελίδες εισόδου — π.χ. «owa-ms365.com» και «ms365-live.com» — που ήταν αντίγραφα των πραγματικών. Χρήστης εισάγει username και password. Credentials καταγράφονται. Το παιχνίδι τελείωσε για τον χρήστη, αλλά ξεκίνησε για την εταιρεία του.
Το ίδιο μπορούσε να συμβεί και με άλλες σελίδες εισόδου — PayPal, Gmail, τράπεζες. Επειδή οι επιτιθέμενοι ελέγχουν το DNS στο gateway, αυτοί που συνδέονται στο δίκτυο δεν έχουν καμία ένδειξη ότι κάτι πήγε στραβά. Το fake login page μοιάζει τέλειο.
Γιατί τα προεπιλεγμένα passwords σου κόστισαν τα credentials
Μπορείς να απορείς: πώς μπορούν οι χάκερ να παραβιάσουν ένα Wi-Fi gateway στην πρώτη θέση; Η απάντηση είναι εξοργιστικά απλή: τα προεπιλεγμένα ή αδύναμα passwords. Τα περισσότερα Wi-Fi gateways σε ξενοδοχεία και συνεδριακά κέντρα παρέχονται με ένα τυποποιημένο admin username και password (π.χ. admin/admin ή admin/12345). Πολλοί IT managers ποτέ δεν τα αλλάζουν.
Ο επιτιθέμενος δεν χρειάζεται καν να βρει το gateway. Απλώς σύνδεση στο δημόσιο δίκτυο Wi-Fi, κάνει μια βασική σάρωση για διαθέσιμες IP addresses, και δοκιμάζει κοινά credentials. Αν είσαι τυχερός, το gateway αποδέχεται το login. Τώρα ο επιτιθέμενος είναι admin του δικτύου και μπορεί να ρυθμίσει όσες κακόβουλες παραμέτρους DNS θέλει.
Η ReliaQuest επισημαίνει ότι αυτή η διαδικασία δεν αφήνει ίχνη στον χρήστη. Δεν πρέπει να κάνει κλικ σε υποπτο link. Δεν πρέπει να ανοίξει κακόβουλο email attachment. Απλώς συνδέεται στο Wi-Fi και το rest προκαθορίστηκε. Η θύματα είναι όλοι — εργαζόμενοι, πελάτες, οποιοσδήποτε χρησιμοποιεί το δίκτυο.
Ποιος κρύβεται πίσω — APT28 και η σύνδεση με άλλες επιθέσεις
Η ReliaQuest δεν ονόμασε τον επιτιθέμενο με 100% βεβαιότητα (δεν υπάρχει ποτέ), αλλά υποψιάζεται ότι πίσω βρίσκεται η Fancy Bear, γνωστή επίσης ως APT28 — μια ρωσική κυβερνοασφάλεια ομάδα με θέση κοντά στη FSB. Η APT28 είναι γνωστή για targeted campaigns εναντίον κυβερνητικών φορέων, στρατιωτικών δικτύων και διπλωματών. Τι κάνει τώρα στα ξενοδοχεία;
Η απάντηση είναι ότι δεν αποτελεί έκπληξη. Τον Απρίλιο του 2024, η CrowdStrike αποκάλυψε ότι η APT28 στόχευε Wi-Fi routers σε κρίσιμες υποδομές. Η τακτική ήταν παρόμοια — παραβίαση των gateways, ρύθμιση malicious configurations, υποκλοπή κυκλοφορίας. Τώρα, η APT28 επεκτείνει το πεδίο της σε πιο ευρύ κοινό κοινού: όσους ταξιδεύουν για επιχειρήσεις και συνεργάζονται με ευαίσθητα δεδομένα.
Υπάρχει μια σημαντική παρατήρηση της ReliaQuest: τα παραβιασμένα gateways στη νέα εκστρατεία χρησιμοποιούν μια «ευρύτερη» τακτική DNS δηλητηρίασης (κατευθύνουν ΟΛΟΙ τα DNS αιτήματα, όχι μόνο επιλεγμένα), κάτι που ενδέχεται να υποδεικνύει λιγότερο προσεκτική εκτέλεση. Αυτό δεν σημαίνει ότι ο επιτιθέμενος είναι αδέξιος — μόνο ότι η ευρύτητα έχει κάποιο όφελος: ενδέχεται να συλλέγουν τα δεδομένα γρήγορα πριν εντοπιστεί η παραβίαση.
Full-Tunnel VPN: η μόνη προστασία που λειτουργεί πραγματικά
Ας ξεκαθαρίσουμε: αν χρησιμοποιείς απλό Wi-Fi, δεν υπάρχει τρόπος να προστατευτείς από τη δηλητηρίαση DNS αν το gateway είναι ήδη παραβιασμένο. Ο ίδιος ο εξοπλισμός που σε συνδέει στο διαδίκτυο είναι ο εχθρός σου — δεν μπορείς να του εμπιστευθείς.
Εδώ μπαίνει το Full-Tunnel VPN. Σε αντίθεση με ένα απλό VPN (που προστατεύει μόνο τον προσεγμένο browser ή την εφαρμογή), ένα Full-Tunnel VPN κρυπτογραφεί ΟΛΑ τα δεδομένα που φεύγουν από τη συσκευή σου — αιτήματα DNS, web traffic, εφαρμογές, όλα. Το σημαντικό: τα DNS αιτήματα δεν πηγαίνουν πλέον στο παραβιασμένο gateway του ξενοδοχείου. Πηγαίνουν μέσω του κρυπτογραφημένου tunnel σε έναν remote VPN server που ελέγχει η εταιρεία σου (ή ένας αξιόπιστος πάροχος). Ακόμα κι αν ο επιτιθέμενος προσπαθήσει να δηλητηριάσει το DNS του gateway, δεν θα δει τι ερωτάμε — μόνο κρυπτογραφημένα δεδομένα.
Η ReliaQuest είναι ξεκάθαρη: «Η υποχρεωτική χρήση ενός πάντα ενεργού Full-Tunnel VPN στις εταιρικές συσκευές διασφαλίζει ότι όλα τα αιτήματα DNS δρομολογούνται μέσω έμπιστων εταιρικών DNS resolvers, εξουδετερώνοντας το διάνυσμα επίθεσης». Με άλλα λόγια: αν ο VPN είναι πάντα ενεργός, ο επιτιθέμενος δεν μπορεί να σε πάρει.
Σημαντικό detail: «Πάντα ενεργό» σημαίνει ότι δεν παίζεται με on/off όταν θες. Πολλοί χρήστες ενεργοποιούν το VPN όταν συνδέονται σε δημόσιο Wi-Fi, αλλά ξεχνούν να το κρατήσουν ενεργό όταν συνδέονται στο δικό τους δίκτυο στο σπίτι ή το γραφείο. Αυτό είναι λάθος. Αν η συσκευή σου έχει ήδη παραβιαστεί (π.χ. κατάσκοπε software), ο VPN δεν σε βοηθάει μόνο όταν είναι ενεργός στο πρώτο βήμα της σύνδεσης.
Τι πρέπει να κάνεις τώρα — πρακτική οδηγός
Αν ταξιδεύεις για επιχειρήσεις, ιδίως σε ξενοδοχεία ή συνεδριακά κέντρα, εδώ είναι τα βήματα που ακολουθούμε εμείς στο TechNoid:
1. Ενεργοποίησε Full-Tunnel VPN ΠΡΟΤΟΥ να συνδεθείς σε κάποιο δημόσιο Wi-Fi. Ορισμένα VPN (π.χ. τα που παρέχονται από εταιρικούς IT departments) έχουν ένα «auto-connect» feature. Ενεργοποίησέ το. Άλλα, όπως το Mullvad ή το ProtonVPN, σε αφήνουν να επιλέξεις. Σύνδεση πρώτα, browser δεύτερα.
2. Ελέγξτε τι δίνεται από την εταιρεία σας. Αν δουλεύεις για μια οργάνωση, ρώτησε το IT department: παρέχουν Full-Tunnel VPN για remote/mobile workers; Αν όχι, αυτό είναι vulnerability. Προτείνεις το αναφάνταστο: ένας επιτιθέμενος μπορεί να υποκλέψει τα Microsoft 365 credentials σου σε δύο κλικ.
3. Μη χρησιμοποιείς δημόσια, δωρεάν VPN δικτύων που δεν εμπιστεύεσαι. Υπάρχουν εκατοντάδες δωρεάν VPN apps που, αντί να σε προστατεύουν, σε χρησιμοποιούν ως exit nodes για άλλες επιθέσεις. Ή χειρότερα: καταγράφουν τα δεδομένα σου και τα πωλούν. Αν η εταιρεία σου δεν παρέχει VPN, ένα κοστολογημένο (π.χ. Mullvad, ProtonVPN, Surfshark) είναι πολύ φθηνότερο από τη λήψη ενός κακόβουλου λογαριασμού Microsoft.
4. Ενημέρωσε το IT department της δομής σας για αυτή την απειλή. Αν υπάρχουν άλλοι που ταξιδεύουν για τη δουλειά, πρέπει να ξέρουν. Πολλές φορές, η κυβερνοασφάλεια δεν είναι μόνο πληροφοριακή — είναι πολιτική. Ένας παραβιασμένος λογαριασμός διαχειριστή Microsoft θα μπορούσε να οδηγήσει σε ransomware ή παραβίαση δεδομένων για ολόκληρη την εταιρεία.
5. Αν έχεις ήδη συνδεθεί σε ύποπτο δημόσιο Wi-Fi χωρίς VPN, αλλάξτε τα passwords σας. Λογαριασμός Microsoft, Gmail, τράπεζα, διαδικτυακή ταχυδρομεία εταιρείας — τα πάντα. Χρησιμοποίησε έναν ασφαλή υπολογιστή (δεν παραβιάστηκε) ή ένα κινητό τηλέφωνο με δεδομένα 4G/5G (όχι το δημόσιο Wi-Fi). Είναι ένας κόπος, αλλά πολύ χειρότερο είναι ο χάκερ να έχει ήδη πρόσβαση.
Πώς δημιουργούνται τα passwords που δεν μπορούν να παραβιαστούν;
Αν αλλάζεις passwords μετά από μια ύποπτη σύνδεση Wi-Fi, σίγουρα θέλεις το νέο να είναι ισχυρό. Χρησιμοποιείς μια εφαρμογή διαχείρισης passwords (όπως το Bitwarden, 1Password ή το Dashlane) για να δημιουργήσεις και να αποθηκεύσεις passwords. Τουλάχιστον 16 χαρακτήρες, τυχαία ανάμιξη γραμμάτων, αριθμών και συμβόλων. Αφήνεις το λογισμικό να κάνει τη δουλειά — δεν προσπαθείς να το κάνεις ίδια σου. Ο ανθρώπινος εγκέφαλος είναι κακός σε δύσκολα passwords.
Τι σημαίνει πραγματικά ένα «πάντα ενεργό» VPN;
Μερικές φορές, ένας χρήστης ενεργοποιεί το VPN και νομίζει ότι είναι προστατευμένος. Στη συνέχεια, ενεργοποιεί τη δραστηριότητα VPN και βλέπει ότι εξαφανίζεται όταν κλείσει την εφαρμογή. Το σημαντικό είναι ότι δεν πρέπει να είναι η σύνδεση που είναι εφαρμογή-based. Πρέπει να είναι σε επίπεδο ΟΣ (λειτουργικό σύστημα). Αν χρησιμοποιείς Windows ή Mac, υπάρχει επιλογή για VPN που είναι πάντα ενεργή σε επίπεδο συστήματος, ακόμα κι αν δεν έχεις ανοίξει κάποια εφαρμογή. Εάν δουλεύεις με κινητό, χρησιμοποίησε ένα VPN profile (εγκατεστημένο ως ένα configuration file) αντί μιας απλής εφαρμογής.
Μπορώ να χρησιμοποιήσω έναν δωρεάν VPN αντί για ένα κοστολογημένο;
Σύντομη απάντηση: όχι, τουλάχιστον όχι αυτόματα. Η πλειονότητα των δωρεάν VPN έχουν αποδειχθεί ότι παρακολουθούν τους χρήστες, πωλούν δεδομένα ή χρησιμοποιούν τους χρήστες ως exit nodes. Υπάρχουν κάποιες εξαιρέσεις (π.χ. το Mullvad έχει δωρεάν επιλογή που δεν είναι κακή, αν και προτείνουν πληρωμή), αλλά αν προστατεύεις μια εταιρική συσκευή, πρέπει να χρησιμοποιήσεις ένα αξιόπιστο, πληρωμένο VPN ή το που παρέχει η εταιρεία σου.
Ο επιτιθέμενος μπορεί να δει ποια δεδομένα στέλνω ακόμα κι αν έχω χρησιμοποιήσει Full-Tunnel VPN;
Όχι, αν το VPN λειτουργεί σωστά. Ο επιτιθέμενος (ή ο ISP σου) μπορεί να δει ότι συνδέεσαι σε έναν VPN server, αλλά όχι τα περιεχόμενα της σύνδεσης — τα DNS αιτήματα, τα passwords, τα URLs που επισκέπτεσαι. Ωστόσο, πρέπει να εμπιστευθείς τον VPN provider — δεν είναι ανώνυμο εάν ο πάροχος καταγράφει ημερολόγια. Γι’ αυτό λέμε ότι ένα επιχειρησιακό VPN (που ελέγχει η εταιρεία σου) είναι πάντα καλύτερη επιλογή από ένα δημόσιο.
Αν χρησιμοποιώ 2FA (Two-Factor Authentication), είμαι ασφαλής από τη δηλητηρίαση DNS;
Ναι — και όχι. Αν ο επιτιθέμενος έχει το username και password σου από το fake login page, ενδέχεται να προσπαθήσει να εισέλθει. Αν έχεις ενεργοποιημένο 2FA, θα πάρει ένα SMS ή ένα push notification και θα αρνηθεί να εισέλθει (εάν δεν του δώσεις τον κωδικό). Ωστόσο, ο επιτιθέμενος γνωρίζει ότι ο λογαριασμός κορυφαίας έχει 2FA και θα προσπαθήσει άλλες κινήσεις — π.χ. ή δοκιμάσει το password σε άλλη τοποθεσία ή θα περιμένει για άλλες παραβιάσεις. 2FA είναι σημαντικό, αλλα δεν αναιρεί το πρόβλημα.
Πώς ξέρω ότι συνδέεται σε ένα παραβιασμένο Wi-Fi;
Δεν υπάρχει εύκολος τρόπος για έναν χρήστη να γνωρίζει ότι ένα δίκτυο έχει παραβιαστεί από μέσα. Αυτή είναι η κρυμμένη απειλή. Δεν θα δεις κάποιο σύμβολο ή προειδοποίηση. Το δίκτυο θα λειτουργεί κανονικά. Γι’ αυτό η μόνη αμυντική γραμμή είναι: ΔΕ ΧΡΗΣΙΜΟΠΟΙΕΙΣ ποτέ δημόσιο Wi-Fi χωρίς Full-Tunnel VPN, ανεξάρτητα από το πόσο αξιόπιστο φαίνεται το δίκτυο. Ακόμα και το Wi-Fi ενός 5-αστέρου ξενοδοχείου ή ενός γνωστού αεροδρομίου μπορεί να έχει παραβιαστεί.
Η άποψή μας στο TechNoid
Αυτή η εκστρατεία δεν είναι νέα τακτική, αλλά είναι ανησυχητική διότι δείχνει ότι το πεδίο της επίθεσης επεκτείνεται. Πριν από χρόνια, ακούγαμε για watering hole attacks (παραβιάσεις δημοφιλών ιστοτόπων για να πιάσουν στόχους). Τώρα, ακούγαμε για DNS hijacking σε κρίσιμες υποδομές. Σήμερα, η APT28 στοχεύει τα δίκτυα όπου ταξιδεύουν οι διοικητικοί υπάλληλοι και οι υπάλληλοι της τεχνολογίας. Αν έχεις δεδομένα αξίας (credentials, έγγραφα εργασίας, δεδομένα πελατών), είσαι στόχος. Ο ταξίδι δεν σε κάνει ασθενή — σε κάνει ευάλωτο.
Το δυσάρεστο μέρος είναι ότι δεν μπορείς να ελέγχεις τον IT administrator ενός ξενοδοχείου. Δεν μπορείς να ξέρεις αν έχουν ενημερώσει το router firmware, αν έχουν αλλάξει τα προεπιλεγμένα passwords ή αν έχουν κατάλληλη παρακολούθηση. Αυτό που ΜΠΟΡΕΙΣ να ελέγχεις είναι η δικιά σου συσκευή και η δικιά σου σύνδεση. Αν δουλεύεις για μια οργάνωση που δεν παρέχει Full-Tunnel VPN, πρέπει να θεωρήσεις αυτό ως κόκκινη σημαία. Αν δουλεύεις μόνος σου ή με freelance, η ευθύνη είναι δική σου — δεν αρκεί να «περιποιηθείς» τα Wi-Fi δικτύων.
Η τελική γραμμή: Full-Tunnel VPN δεν είναι πολυτέλεια. Είναι ένα βασικό εργαλείο κυβερνοασφάλειας. Αν ταξιδεύεις και συνδέεσαι σε δημόσια δίκτυα, το VPN είναι στην ίδια κατηγορία με το κλείδωμα της σκληράς δίσκου: δεν επιλέγεται.
