Microsoft waarschuwt: doe dit nooit als je hotelwifi gebruikt

Een gratis wifi netwerk kan tijdens een vakantie moeilijk te weerstaan zijn. Misschien wil je alleen even snel je mail checken, een bericht naar huis sturen of de route naar het volgende restaurant opzoeken.

Het lijkt allemaal eenvoudig en volkomen onschuldig wanneer je het netwerk van het hotel vindt, je telefoon of computer verbindt en vervolgens het vertrouwde scherm te zien krijgt waarop je moet inloggen om toegang tot internet te krijgen.

Maar juist op dat moment kan er een serieus risico op de loer liggen. Want wat op je scherm lijkt op een doodgewone en betrouwbare inlogpagina, is niet altijd wat het lijkt. Merk je het verschil niet op tijd, dan kan een kort bezoek aan het internet uiteindelijk veel grotere gevolgen hebben dan je had verwacht.

Microsoft waarschuwt nu vooral gasten van hotels, restaurants en congrescentra om extra alert te zijn. De techgigant volgt een campagne die het bedrijf Captive Crunch noemt en die volgens Microsoft al minstens sinds mei actief is.

Volgens Microsoft zit achter de campagne een Russische hackersgroep die openbare wifi netwerken misbruikt om nietsvermoedende gebruikers aan te vallen.

De methode bestaat er onder meer uit dat de bekende inlogpagina’s van veel openbare netwerken worden misbruikt. De aanvallers proberen gebruikers vervolgens door te sturen naar websites die zijn ontworpen om schadelijke software op hun apparaten te laten installeren.

Het begint met een normaal wifi-scherm

De werkwijze van de aanvallers is opvallend geraffineerd. Wie verbinding maakt met openbare wifi krijgt vaak automatisch een zogenoemde captive portal te zien. Dat is de bekende webpagina waarop je bijvoorbeeld akkoord moet gaan met de voorwaarden voordat je toegang krijgt tot internet.

Juist deze pagina’s vormen het doelwit van de hackers. Zij weten de captive portals te kapen en kunnen gebruikers vervolgens doorsturen naar websites die volledig door de aanvallers worden beheerd.

Microsoft heeft vooralsnog niet kunnen vaststellen hoe de hackers precies toegang krijgen tot deze portals, maar voor het slachtoffer begint het gevaar zodra de vervalste pagina in beeld verschijnt.

Valse meldingen moeten het slachtoffer overtuigen

Op de malafide websites krijgen gebruikers meldingen voorgeschoteld die eruitzien alsof ze afkomstig zijn van bekende software en beveiligingsprogramma’s.

Zo kan een reiziger bijvoorbeeld het verzoek krijgen om een noodzakelijke Windows-update of browserupdate te installeren. Ook een waarschuwing die zogenaamd afkomstig is van Windows Defender of een melding waarin wordt gevraagd om software voor het openen van een pdf-bestand kan verschijnen.

Wie vervolgens op de betreffende knop klikt en de instructies volgt, haalt in werkelijkheid schadelijke software binnen. Microsoft heeft tijdens de campagne verschillende soorten malware aangetroffen, waaronder backdoors en Trojaanse paarden waarmee aanvallers toegang tot een besmet apparaat kunnen krijgen.

De gevolgen kunnen aanzienlijk zijn omdat bepaalde varianten wachtwoorden en bestanden kunnen buitmaken terwijl andere malware toetsaanslagen registreert en screenshots maakt van wat er op het scherm gebeurt. In sommige gevallen kunnen aanvallers bovendien toegang krijgen tot de camera en microfoon en het apparaat vervolgens op afstand bedienen.

Juist doordat de valse meldingen professioneel zijn vormgegeven en verschijnen op een moment waarop iemand ervan uitgaat dat hij veilig met het wifi-netwerk van een hotel of andere openbare locatie is verbonden, kunnen zelfs oplettende gebruikers erin trappen.

Een onverwachte update of beveiligingsmelding die verschijnt nadat je verbinding hebt gemaakt met openbare wifi is daarom een reden om extra voorzichtig te zijn en niet zomaar software te installeren.

De gevolgen daarvan kunnen enorm zijn. Een deel van de aangetroffen malware kan volgens Microsoft wachtwoorden en bestanden van de computer stelen, toetsaanslagen registreren en ongemerkt schermafbeeldingen maken.

Sommige varianten gaan nog verder en krijgen toegang tot de camera en de microfoon, waarna de aanvallers het apparaat desgewenst volledig op afstand besturen.

Daarmee kijken de hackers niet alleen mee in het digitale leven van hun slachtoffers, maar luisteren ze ook letterlijk mee in de hotelkamer of vergaderruimte waar de besmette laptop open staat. Juist zakelijke reizigers met gevoelige informatie op hun apparaat vormen daardoor een bijzonder aantrekkelijk doelwit.

Spionage vanuit Moskou

Microsoft wijst de hackersgroep Storm-2945 aan als dader. Die groep valt onder APT29, in beveiligingskringen ook bekend als Cozy Bear of Midnight Blizzard.

Volgens tal van deskundigen werkt dit collectief in opdracht van de Russische buitenlandse inlichtingendienst SVR en draait ook deze campagne in de eerste plaats om spionage. Het gaat de aanvallers dus niet om losgeld of gestolen creditcardgegevens, maar om informatie die voor de Russische staat interessant kan zijn.

APT29 heeft bovendien een lange en beruchte staat van dienst. De groep zat onder meer achter de grootschalige SolarWinds-hack, waarbij Amerikaanse overheidsdiensten werden binnengedrongen en bespioneerde de groep eerder zelfs het topmanagement van Microsoft.

Dat gebeurde ironisch genoeg via de eigen Office-producten van het techbedrijf, wat aantoont hoe geraffineerd deze aanvallers te werk gaan.

Helemaal voorkomen kun je zo’n aanval helaas niet, maar met een paar simpele voorzorgsmaatregelen verklein je het risico wel aanzienlijk. Microsoft raadt aan om bij twijfel de hotspot van je eigen telefoon te gebruiken in plaats van een onbekend wifi-netwerk. 

Maak je toch gebruik van het netwerk van een hotel of luchthaven, negeer dan alle pop-ups en updateverzoeken die plotseling in beeld verschijnen.

Een legitieme update kondigt zichzelf namelijk vrijwel nooit aan via de browser. Updates installeer je uitsluitend via de instellingen van Windows of van het programma zelf. Twijfel je toch ergens aan, wacht dan gewoon met updaten tot je thuis weer veilig op je eigen netwerk zit.