Microsoft Threat Intelligence'a göre Storm-2945 adlı grup, Mayıs 2026 başından beri dünya genelinde otel, konferans merkezi ve benzeri yerlerin captive portal (otel ya da kafede internete çıkmadan önce açılan giriş/kayıt sayfası) ile çalışan Wi-Fi ağlarındaki trafiği yönlendirerek yolculara sahte güncelleme ve sahte oturum açma ekranları gösteriyor. Microsoft, özellikle seyahat edenlerin cihazlarını korumalarına yardımcı olmak amacıyla CaptiveCrunch adını verdiği bu kampanyaya ilişkin bulgularını 31 Temmuz 2026'da yayımladı. Şirket, 5 Ekim 2026'daki güncellemesinde ise kampanyanın 29 Eylül 2026'da yeniden başladığını bildirdi. Microsoft'un aktardığına göre Black Lotus Labs'in raporu, konaklama sektörüne hizmet veren birden fazla yönetilen hizmet sağlayıcının işin içinde olduğuna işaret ediyor; Microsoft'a göre grubun bu üst sağlayıcılara erişiminin sürmesi kampanyanın hızla yeniden başlamasını sağlamış olabilir. Microsoft, kampanyanın yeniden ortaya çıkışını izlemede Google Threat Intelligence Group ile iş birliği yaptığını da aktardı.
Microsoft, birden fazla ülkede konaklama sektörü kuruluşlarının ve captive portal ekipmanıyla hizmet verilen diğer ağların Wi-Fi sistemlerinde yaygın ele geçirme tespit etti ancak ülkeleri adlandırmadı. Microsoft'un aktardığına göre ReliaQuest bu faaliyeti yalnız otellerde değil konferans merkezlerinde ve diğer ortak mekânlarda da gördü ve amacın kurumsal seyahat edenlerin hesaplarına erişmek olduğunu değerlendiriyor. Microsoft, etkilenen ağlarda kullanılan ekipman ve yönetim sistemlerinde ortak noktalar gördüğünü, bunun tek tek mekânlardan çok captive portal ekosisteminin bazı ortak hizmetlerine erişime işaret edebileceğini bildirdi.
Saldırı nasıl işliyor
Grup, DNS ve HTTP trafiğini kendi altyapısı üzerinden yönlendirerek ortadaki adam (AitM) saldırısı konumu elde ediyor. Tarayıcıların otomatik bağlantı kontrollerine yanıt olarak kullanıcılara tarayıcı ya da işletim sistemi güncellemesi gibi görünen zararlı yazılımlar sunuluyor. Bunlar arasında «güncellemeler yapılıyor, bilgisayarınızı kapatmayın» görünümlü sahte Windows Update ekranları ve sahte tarayıcı güncelleme istemleri yer alıyor. Saldırıda kullanıcıyı zararlı yazılımı indirip çalıştırmaya yönlendiren ClickFix (kullanıcıya komut kopyalayıp çalıştırtan sahte doğrulama ekranı) türü ekranlar da kullanılıyor. Microsoft, ClickFix sayfalarında Android cihazlar için APK dosyası indirip kurma talimatları bulunduğunu ve grubun Android cihazları da hedefliyor olabileceğine dair işaretler gördüğünü bildirdi.
Microsoft'a göre zararlı yazılım bulaşan Windows bilgisayarlara uzaktan erişim truva atı (RAT) yerleştiriliyor. Microsoft'un CornFlake adını verdiği bu araç sistem bilgisi toplayabiliyor, dosya ve tuş vuruşlarını çalabiliyor, parola ve oturum anahtarlarını (token) ele geçirebiliyor, ses ve görüntü kaydı alabiliyor ve saldırgana uzaktan komut satırı veriyor. 5 Ekim 2026 güncellemesine göre son aşamada CornFlake'in Rust diliyle yazılmış bir sürümü görüldü. ChocoShell adlı başka bir araç ise Chrome, Edge, Brave, Opera ve Vivaldi gibi tarayıcılardan kayıtlı parolaları, oturum çerezlerini, Microsoft 365 oturum anahtarlarını ve Wi-Fi parolalarını çalıyor. Microsoft, grubun bu operasyonların önemli bir kısmında yapay zekâdan yararlandığını gözlemledi.
Microsoft'a göre 16 Temmuz 2026'dan beri bazı CaptiveCrunch sayfaları kullanıcıları cihaz kodu (device code) ile oturum açma akışına yönlendiriyor. Klavyesi olmayan cihazlar için tasarlanmış meşru bir yöntem olan bu akışta, saldırgan bir oturum açma isteği başlatıp kullanıcıdan kendi ürettiği kodu gerçek Microsoft oturum açma sayfasına girmesini istiyor. Kullanıcı kodu girerse kendi oturumunu değil saldırganın oturumunu onaylamış oluyor. Microsoft'a göre Midnight Blizzard Ağustos 2024'ten beri cihaz kodu oltalaması yürütüyor ve yöntem temelde yeni değil; ancak otel Wi-Fi ağının giriş sayfasıyla birleşince oturum açma isteği kullanıcıya daha inandırıcı görünebiliyor. Grup ayrıca Microsoft çevrimiçi hizmetlerini taklit eden benzer alan adları kullanıyor.
Arkasında kim var
Microsoft, Storm-2945'i teknik ve operasyonel benzerliklere dayanarak Midnight Blizzard'ın bir alt kümesi olarak değerlendiriyor. Microsoft'a göre Midnight Blizzard, ABD ve İngiltere hükümetlerinin Rusya Dış İstihbarat Servisi'ne (SVR) bağladığı, Rusya merkezli bir tehdit aktörü. Grup ağırlıklı olarak ABD ve Avrupa'da hükümetleri, diplomatik kurumları, sivil toplum kuruluşlarını ve BT hizmet sağlayıcılarını istihbarat toplamak amacıyla hedef alıyor.
Microsoft, Storm-2945'in Şubat 2026'dan beri hedefli cihaz kodu ve OAuth kodu oltalama kampanyaları yürüttüğünü, bunların Microsoft Entra ID'de cihaz kaydına ve Microsoft 365'ten veri toplamaya vardığını bildirdi.
Nasıl korunursunuz
Bireysel kullanıcılar için önerilen adımlar:
- Otel, konferans, havalimanı ve diğer misafir Wi-Fi ağlarını güvenilmez kabul edin.
- Mümkünse misafir Wi-Fi yerine mobil veri, kişisel erişim noktası (hotspot) ya da eSIM bağlantısı kullanın.
- Wi-Fi giriş sayfasında ya da beklenmedik bir pencerede sunulan yazılım güncellemesi, sertifika, tarayıcı güncellemesi, ağ sorun giderme aracı ya da güvenlik aracını indirmeyin.
- Güncellemeleri yalnız işletim sisteminin kendi güncelleme menüsünden doğrulayın.
- Sizden bir komut kopyalayıp çalıştırmanızı isteyen doğrulama ekranlarını zararlı kabul edin.
- İş hesabınızın parolasını otel ya da misafir ağı kayıt sayfalarında kullanmayın.
- Beklemediğiniz bir cihaz kodunu Microsoft oturum açma sayfasına girmeyin.
Kurumlar ve BT ekipleri için önerilen adımlar:
- Geçiş anahtarı (passkey) gibi parolasız yöntemler ve çok faktörlü kimlik doğrulama (MFA) kullanın.
- MFA'yı koşullu erişim (Conditional Access) politikalarıyla destekleyin ve ayrıcalıklı hesaplarda oltalamaya dayanıklı MFA zorunlu tutun.
- Cihaz kodu ile oturum açmayı yalnız gerekli yerlerde açık bırakın ve mümkün olan her yerde engelleyin.
- Riskli oturum açma politikası uygulayın.
- Kurumsal cihazların yalnız Mobil Cihaz Yönetimi (MDM) ile tanımlanmış Wi-Fi ağlarına bağlanmasını sağlamayı ve kurum altyapısına şifreli tünel kuran seyahat yönlendiricilerini değerlendirin.
- Konaklama ve misafir ağı kayıtlarında çalışan kimliği, kurum bilgisi ve seyahat ayrıntısını gereğinden fazla paylaşmayın.
Neler bilinmiyor
Saldırılardan etkilenen ülkeler, oteller ve kurbanların sayısı açıklanmadı. Etkilenen yönetilen hizmet sağlayıcıların adları da açıklanmadı. Captive portal ağlarının ilk nasıl ele geçirildiğine dair inceleme sürüyor. Türkiye'de etkilenen bir ağ ya da kişi olup olmadığına dair ise bilgi bulunmuyor.
Kaynaklar
Kapak görseli (temsili): «Writing a Review of a Holiday» — Familydestinationsguide.com Images, CC BY 2.0, Wikimedia Commons (16:9 kırpıldı, 1200×675 küçültüldü).
Sık sorulan sorular
Otel Wi-Fi'ına bağlanmak güvenli mi?
Microsoft, otel, konferans ve havalimanı gibi yerlerdeki misafir Wi-Fi ağlarının güvenilmez kabul edilmesini ve mümkünse mobil veri, kişisel erişim noktası (hotspot) ya da eSIM bağlantısı kullanılmasını öneriyor.
Wi-Fi'a bağlanınca güncelleme penceresi çıkarsa ne yapmalıyım?
Wi-Fi giriş sayfasında veya beklenmedik bir pencerede sunulan yazılım, tarayıcı güncellemesi, sertifika ya da güvenlik araçlarını indirmemeli, güncellemeleri yalnız işletim sisteminin kendi güncelleme menüsünden doğrulamalısınız.
Cihaz kodu ile oturum açma nedir?
Klavyesi olmayan cihazlar için tasarlanmış meşru bir yöntemdir; ancak saldırganlar kendi ürettikleri kodu gerçek Microsoft sayfasına girmenizi isteyerek kendi oturumlarını onaylatabilir, bu nedenle beklemediğiniz bir cihaz kodunu oturum açma sayfasına girmemelisiniz.
