Взломы общедоступного Wi-Fi, злые двойные точки доступа и угон сока¶

Аэропорты, отели, кафе, конференц-центры и транзитные узлы являются основными охотничьими угодьями для двух тесно связанных кибератак с физической близостью: злоумышленные точки доступа Wi-Fi и Juice Jacking (взлом общедоступных USB-портов для зарядки). Когда вы подключаете свой телефон или ноутбук к беспроводной сети, контролируемой злоумышленником, или подключаете кабель к модифицированному USB-порту, вы передаете злоумышленнику прямой физический или сетевой мост для перехвата вашего трафика, сбора ваших учетных данных для входа или перехвата файлов cookie активной аутентификации.

Если вы только что поняли, что ввели свой адрес электронной почты, корпоративный логин или данные кредитной карты на подозрительном портале отеля или аэропорта, или если на вашем телефоне появилось сообщение «Доверяйте этому компьютеру» при подключении к публичному зарядному киоску, немедленное сдерживание может помешать злоумышленнику заблокировать вам доступ к вашим учетным записям.

Сделай это сейчас¶

1. Немедленно отключитесь от сети Wi-Fi или отсоедините USB-кабель. Полностью отключите Wi-Fi на своем ноутбуке или смартфоне или сразу же физически вытащите шнур зарядки из общедоступного USB-порта.
2. Забудьте о несанкционированной сети Wi-Fi, чтобы ваше устройство не переподключалось автоматически. Откройте настройки Wi-Fi, выберите имя подозрительной сети (SSID) и нажмите Забыть эту сеть или отключите Автоматическое подключение.
3. Переключитесь на надежное сотовое соединение для передачи данных (4G/5G), чтобы защитить скомпрометированные учетные записи. Не используйте локальную сеть Wi-Fi во время сброса учетных данных. Используйте сотовую связь вашего телефона или дополнительное незащищенное устройство.
4. Отмените все активные сеансы входа и поменяйте пароли для любой учетной записи, которую вы ввели или использовали. Если вы ввели пароль на поддельном портале авторизации или вошли в учетную запись через мошенническую сеть, перейдите к настройкам безопасности этой учетной записи, нажмите Выйти со всех устройств/Отменить активные сеансы и немедленно измените пароль.
5. Проверяйте правила пересылки электронной почты и устройства многофакторной аутентификации (MFA). Проверьте настройки Gmail, Outlook или корпоративной электронной почты на наличие несанкционированных правил автоматической пересылки или новых добавленных номеров телефонов для восстановления и приложений для проверки подлинности.
6. Перезагрузите свое мобильное устройство и проверьте его, если вы нажали «Доверять» на общедоступном зарядном устройстве USB. Если вы нажали «Доверять этому компьютеру» или включили передачу/отладку файлов по USB в общедоступном киоске, отключитесь от всех сетей, проверьте наличие несанкционированных профилей конфигурации или загруженных приложений, а также подготовьтесь к резервному копированию важных фотографий и выполните сброс настроек к заводским настройкам, если подтвердится злонамеренное вмешательство.

flowchart TD
    A["Подозрение на компрометацию общедоступного Wi-Fi или USB-зарядки."] --> B{"Какая угроза возникла?"}
    B -->|"Подключено к Evil Twin Wi-Fi или поддельному порталу"| C["Немедленно отключите Wi-Fi и нажмите «Забыть эту сеть»."]
    B -->|"Подключен телефон к общедоступному USB-порту: Juice Jacking"| D["Немедленно отключите USB-кабель"]
    C --> E{"Вы вводили пароли, платежные данные или принимали сертификат?"}
    E -->|"Да"| F["Переключитесь на сотовую связь 4G/5G и отмените активные сеансы."]
    F --> G["Меняйте пароли, блокируйте платежную карту, удаляйте мошеннические корневые сертификаты"]
    E -->|"Нет"| H["Очистка кэша DNS, включение VPN или DNS-over-HTTPS, мониторинг входов в систему"]
    D --> I{"Вы нажали «Доверять этому компьютеру» или «Разрешить отладку по USB»?"}
    I -->|"Да"| J["Включите режим полета, удалите неизвестные профили устройств, при необходимости выполните сброс настроек к заводским настройкам."]
    I -->|"Нет: запрос только на питание или блокировку."| K["Перезагрузите телефон, чтобы очистить состояние интерфейса USB, и используйте сетевой адаптер переменного тока."]

Как работают Evil Twin Wi-Fi и атаки на перехватывающие порталы¶

Evil Twin , это мошенническая точка беспроводного доступа, созданная злоумышленником с помощью ноутбука, портативного маршрутизатора (например, Wi-Fi Pineapple) или мобильной точки доступа для имитации законной общедоступной сети Wi-Fi. Поскольку имена сетей Wi-Fi (SSID) по умолчанию не аутентифицируются в открытых сетях, любой, кто находится в зале ожидания аэропорта или кафе, может транслировать сеть с именем Airport_Free_WiFi, Starbucks_Guest, или Grand_Hotel_Conference.

Если злоумышленник усилит сигнал своей антенны ближе к вашему столу, чем настоящий потолочный маршрутизатор, ваш телефон или ноутбук автоматически подключится к устройству злоумышленника. Как только вы подключаетесь к Evil Twin, злоумышленник занимает позицию Человек посередине (MitM) (также называемую «Противник посередине» или AitM) между вашим устройством и Интернетом.

Три ловушки внутри сети Злых Двойников¶

1. Сбор поддельных учетных данных Captive Portal: Когда вы подключаетесь к подлинной сети Wi-Fi в отеле или аэропорту, во всплывающем окне браузера (captive-портал) обычно предлагается нажать «Принять условия» или ввести номер своей комнаты. Злоумышленники клонируют эти заставки и добавляют подсказку: * «Войдите в систему, используя свою учетную запись Google, Microsoft 365, Apple или социальной сети, чтобы активировать бесплатный высокоскоростной Wi-Fi» * или попросите кредитную карту для «подтверждения личности за 1 доллар». Все, что набирается на этой странице, попадает прямо к злоумышленнику, который часто использует инструменты обратного прокси-сервера в реальном времени, чтобы одновременно украсть ваш токен сеанса многофакторной аутентификации (MFA).
2. Подмена DNS и удаление SSL. Хотя современное шифрование HTTPS защищает большую часть веб-трафика даже через ненадежный Wi-Fi, злоумышленник, контролирующий ваш DNS-сервер, может перенаправить вводимые вами домены, понизить версию незашифрованных HTTP-ссылок или обманом заставить вас установить вредоносный профиль Корневого центра сертификации (CA) («Установите профиль безопасности нашего отеля для доступа в Интернет»). Если вы установите корневой сертификат злоумышленника, он сможет расшифровать и прочитать весь ваш банковский, электронный и рабочий трафик HTTPS в виде обычного текста.
3. Обнаружение автоматического присоединения (атаки KARMA/MANA): Если на вашем телефоне или ноутбуке включено автоматическое присоединение для ранее использованных открытых сетей (например, attwifi или Hilton_Honors), ваше устройство постоянно отправляет зонды, ищущие эти имена, куда бы вы ни пошли. Мошеннические точки доступа прослушивают эти запросы и выдают себя за любую сеть, которую запрашивает ваше устройство, бесшумно подключаясь к вам в рюкзаке или кармане, даже не открывая меню Wi-Fi.

Пошаговое восстановление, если вы использовали сеть Evil Twin¶

Если вы заметили, что подключились к поддельной точке доступа или ввели конфиденциальные данные на подозрительном экране входа в систему, выполните следующие действия по порядку, используя надежное сотовое соединение:

1. Проверьте и удалите поддельные сертификаты или профили устройств.¶

Если авторизованный портал предложил вам нажать «Разрешить» или «Установить» в системном запросе, прежде чем предоставить вам доступ в Интернет, немедленно проверьте свое устройство: - На iPhone/iPad (iOS/iPadOS): Откройте Настройки > Общие > VPN и управление устройствами. Если вы видите какой-либо незнакомый вам профиль конфигурации (за пределами официального профиля MDM вашего работодателя), коснитесь его и выберите Удалить профиль. Затем проверьте Настройки > Общие > О программе > Настройки доверия сертификатам и убедитесь, что неизвестные корневые сертификаты не включены. - На Android: Откройте Настройки > Безопасность и конфиденциальность > Дополнительные настройки безопасности > Шифрование и учетные данные > Доверенные учетные данные > Пользователь (названия меню незначительно различаются в зависимости от производителя). Удалите все установленные пользователем сертификаты, установленные во время сеанса. - В Windows/macOS: В macOS откройте Настройки системы > Конфиденциальность и безопасность > Профили (и установите флажок Доступ к связке ключей > Системные корни/сертификаты). В Windows нажмите Win + R, введите certmgr.mscи проверьте Доверенные корневые центры сертификации на наличие новых добавленных записей.

2. Отмените активные файлы cookie и поменяйте скомпрометированные пароли.¶

Если вы вошли в Google, Microsoft, Apple или корпоративный единый вход на поддельном портале авторизации, злоумышленник, скорее всего, украл ваш файл cookie сеанса вместе с вашим паролем. Простое изменение пароля может не удалить их, если токен сеанса остается действительным: - Войдите в панель управления безопасностью своей учетной записи, используя данные сотовой связи, просмотрите Где вы вошли в систему/Активные устройства и завершите каждый незнакомый сеанс. - Измените свой пароль на уникальную парольную фразу и обновите свой MFA до аппаратного ключа безопасности или пароля (FIDO2/WebAuthn), который криптографически привязывается к реальному доменному имени и не может быть взломан поддельным порталом авторизации. Смотрите наше руководство по Фишинг MFA и обход «противника посередине».

3. Блокировка взломанных платежных карт¶

Если Wi-Fi-портал в аэропорту, на борту самолета или в отеле запросил номер вашей кредитной или дебетовой карты и код CVV, немедленно откройте приложение мобильного банкинга для передачи данных по сотовой сети, заблокируйте или заблокируйте карту и позвоните по номеру, указанному на обратной стороне карты, чтобы сообщить о ее компрометации и заказать замену на новый номер карты.

Как работает Juice Jacking (вредоносная USB-зарядка)¶

Стандартные USB-кабели (USB-A, Micro-USB и USB-C) содержат как контакты питания (по которым подается электрический ток для зарядки аккумулятора), так и контакты данных (дифференциальные линии D+/D- и высокоскоростные линии TX/RX, предназначенные для синхронизации файлов, фотографий и диагностических команд с компьютером).

Джок-джекинг происходит, когда преступники вмешиваются в работу оборудования за общедоступным настенным USB-портом, зарядной стойкой в ​​аэропорту, USB-разъемом для лампы в отеле или USB-портом для передачи данных арендованного автомобиля. Подключив скрытый микрокомпьютер или вредоносную микросхему контроллера за лицевой панелью, злоумышленник может предпринять две категории атак, когда вы подключаете кабель непосредственно к USB-разъему:

1. Кража данных и злоупотребление отладкой. Если порт эмулирует хост-компьютер и обманным путем заставляет пользователя нажать Доверять этому компьютеру (в iOS) или включить Передачу файлов/MTP/Отладку по USB (в Android), скрытый компьютер может быстро скопировать фотопленку, контакты, заметки и незашифрованные локальные резервные копии или загрузить на устройство вредоносные полезные данные конфигурации.
2. Внедрение нажатия клавиш HID (Human Interface Device) и аппаратные атаки: Усовершенствованные вредоносные USB-порты или поддельные кабели, оставленные подключенными к общедоступным киоскам (например, кабели O.MG или USB-импланты Hak5), содержат крошечные встроенные чипы Wi-Fi и микроконтроллеры внутри пластиковой головки разъема. При подключении к ноутбуку или телефону кабель притворяется внешней USB-клавиатурой, набирая сотни невидимых команд терминала или PowerShell в секунду, чтобы открыть удаленный черный ход.

Защита телефона и ноутбука перед поездкой¶

Прежде чем отправиться в аэропорт, отель или кафе, потратьте пять минут, чтобы настроить эти параметры, чтобы ваши устройства автоматически защищались:

1. Используйте персональную точку доступа вашего телефона вместо общедоступной сети Wi-Fi. Всякий раз, когда у вас есть сеть сотовой связи, подключите свой ноутбук к точке доступа сотовой связи вашего телефона (защищенной шифрованием WPA3), а не подключайтесь к Wi-Fi в отеле или кафе. В сотовых сетях используется аппаратная криптографическая аутентификация SIM/eSIM, которую невозможно просто клонировать с помощью маршрутизатора Evil Twin-любителя.
2. Держите проверенную VPN с включенным аварийным выключателем. Если вам необходимо использовать общедоступный Wi-Fi (например, в самолете или в подвальном конференц-зале без сигнала сотовой связи), включите надежную виртуальную частную сеть (VPN) с помощью WireGuard или OpenVPN перед открытием каких-либо приложений или браузеров, а также включите Kill Switch VPN, чтобы трафик блокировался в случае сбоя зашифрованного туннеля.
3. Включите зашифрованный DNS (DNS-over-HTTPS или DNS-over-TLS): Настройте свой браузер и операционную систему на использование зашифрованного DNS (например, Cloudflare). 1.1.1.1 или Quad9 9.9.9.9), поэтому мошеннический маршрутизатор Wi-Fi не сможет отслеживать или подделывать доменные имена, которые ищет ваше устройство, однако учтите, что вам может потребоваться ненадолго отключить зашифрованный DNS на 30 секунд, чтобы загрузить легальную страницу входа в систему портала отеля, прежде чем снова включить его.
4. Очистить сохраненные открытые сети Wi-Fi и отключить автоматическое присоединение: Удалить старые открытые сети (Airport_Free_WiFi, Hotel_Guest, xfinitywifi) из списка сохраненных сетей, отключите параметр «Попросить присоединиться к сетям» и установите брандмауэр вашего ноутбука в режим Общественный/Скрытый режим (блокировка входящего обмена файлами, AirDrop от «Всех» и обнаружения локальной сети).
5. Включите режим блокировки или расширенную защиту данных, если вы являетесь объектом повышенного риска. Журналистам, руководителям, юристам и активистам, путешествующим через транзитные узлы повышенного риска, следует включить режим блокировки (на устройствах Apple) или Расширенную защиту (на устройствах Android/Google), который полностью отключает проводное USB-подключение для передачи данных, пока устройство заблокировано.

Часто задаваемые вопросы¶

Защищает ли меня VPN от сети Evil Twin Wi-Fi?¶

Надежная VPN шифрует весь интернет-трафик, исходящий от вашего устройства, поэтому оператор Evil Twin не сможет прочитать ваши потоки данных или перехватить незашифрованные соединения. Однако VPN не сможет защитить вас, если вы вручную введете свой пароль электронной почты или номер кредитной карты на поддельной странице-заставке портала до подключения VPN, а также не остановит вредоносное ПО, если вы вручную установите мошеннический корневой сертификат.

Как определить, какая сеть Wi-Fi в аэропорту или кафе является настоящей?¶

Вы не можете проверить подлинность сети Wi-Fi, просто взглянув на имя в меню, поскольку злоумышленник может назвать точку доступа Evil Twin идентично реальной сети. Всегда спрашивайте у сотрудника точное имя сети и пароль, по возможности избегайте сетей без шифрования паролей WPA2/WPA3 и немедленно включайте VPN, как только соединение будет установлено.

Что, если я подключил свой телефон к USB-порту аэропорта, увидел «Доверять этому компьютеру» и нажал «Не доверять»?¶

Если вы нажали «Не доверять» (или проигнорировали запрос, пока экран оставался заблокированным) и немедленно отключили телефон, ваша операционная система заблокировала подключение USB-каналов передачи данных к вашему хранилищу. Просто перезагрузите телефон, чтобы очистить временную память USB-контроллера и переключиться на стандартную розетку переменного тока или портативный аккумулятор.

Безопасно ли подключать к USB-портам арендованного автомобиля телефон?¶

Информационно-развлекательные системы арендованного автомобиля автоматически синхронизируют ваш список контактов, журналы вызовов, текстовые сообщения и идентификаторы устройств Bluetooth, когда вы подключаете USB-порт данных на приборной панели и даете разрешение. Вместо использования USB-порта для передачи данных автомобиля подключите 12-вольтовый автомобильный адаптер прикуривателя к вспомогательной розетке или используйте физический блокировщик данных USB и удалите свой профиль из информационно-развлекательного меню автомобиля перед возвратом автомобиля.

Связанные руководства¶

• Фишинг MFA и обход «противника посередине»
• Реагирование на утечку данных и утечку паролей
• Работаем удаленно и безопасно из отеля
• Мошенничество в аэропортах и ​​безопасность транзита
• Глобальные номера экстренных служб