這篇文章將為工程師詳細解析近期被披露的 CaptiveCrunch 攻擊行動。這是一個典型的網路層級劫持案例，攻擊者利用飯店的公共 Wi-Fi 基礎設施，將使用者導向惡意頁面以植入間諜軟體。
對於初入行的工程師來說，理解這類攻擊的核心在於：攻擊者並非直接入侵你的電腦，而是控制了你與外界溝通的通道。
網路劫持的起手式：Captive Portal 與 DNS 欺騙
當我們在飯店或機場連接 Wi-Fi 時，通常會跳出一個登入頁面，這在技術上稱為 Captive Portal（強制網路門戶）。這個門戶閘道器（Gateway）通常兼任 DNS Resolver（DNS 解析器），負責將你輸入的網址（如 google.com）轉換為伺服器 IP 地址。
在 CaptiveCrunch 攻擊中，攻擊者取得了該閘道器的管理權限。一旦控制了 DNS 解析權，攻擊者就可以進行 DNS 欺騙（DNS Spoofing）。簡單來說，當你的裝置嘗試進行自動連線檢查（Connectivity Check）時，閘道器會將請求導向一個偽造的頁面，而不是真正的目標伺服器。
從偽造更新到權限獲取
攻擊者利用使用者對系統更新的信任，在偽造頁面中推送虛假的瀏覽器或作業系統更新。這裡使用了兩種主要的社交工程手段：
第一種是 ClickFix 手法。頁面會指示使用者開啟終端機（Terminal）或 Windows 工具，並貼上並執行一段攻擊者提供的指令。這實際上是誘導使用者主動將惡意程式碼注入系統。
第二種是裝置代碼驗證劫持（Device Code Authentication）。攻擊者將使用者導向微軟官方的合法登入頁面，但要求使用者輸入由攻擊者生成的代碼。如果使用者照做，攻擊者就能在自己的裝置上獲取一個已通過多因素驗證（MFA）的合法會話（Session），直接繞過安全防護進入使用者的帳戶。
惡意軟體的行為分析：CornFlake 與 ChocoShell
一旦使用者執行了惡意指令，系統會被植入名為 CornFlake 的遠端存取木馬（RAT）。這款用 Go 語言編寫的工具具有極強的隱蔽性與破壞力：
持久化機制。它會將自己偽裝成 Cloud Sync Service，並在註冊表（Registry Run key）與排程工作中建立啟動項。為了防止被防毒軟體刪除，它還設有 Watchdog（監控程序）來自動恢復被刪除的持久化路徑。
監控能力。它可以截圖、記錄剪貼簿內容、竊取瀏覽器儲存的密碼與 Cookie。值得注意的是，它甚至能突破 Chrome 的 App-Bound Encryption（應用程式綁定加密）來竊取敏感資料。
記憶體內竊取。除了 CornFlake，攻擊者還使用了名為 ChocoShell 的 PowerShell 腳本。它直接在記憶體中運行，專門從 Token Broker 快取中竊取 Microsoft 365 與 Azure AD 的存取令牌（Tokens）。這意味著攻擊者不需要 Cookie 就能進行會話重放（Session Replay），直接冒充使用者身份。
實務上的影響與防禦建議
這次攻擊最令人擔憂的是其規模潛能。微軟發現多個飯店網路使用了相同的管理系統，這暗示攻擊者可能並非逐一攻破飯店，而是入侵了 Captive Portal 的供應商或共用管理平台。這將單一的 Wi-Fi 劫持提升到了供應鏈攻擊的層級。
針對此類威脅，工程師與使用者應採取以下防禦措施：
使用全隧道 VPN（Full-Tunnel VPN）。這是最有效的防禦手段。全隧道 VPN 會將所有流量（包括 DNS 查詢）加密並傳送到公司或信任的解析伺服器，完全跳過飯店閘道器的 DNS 解析，使 DNS 欺騙失效。
警覺非預期的更新請求。在公共 Wi-Fi 環境下，絕對不要執行任何由網頁誘導的終端機指令，也不要接受任何透過 Captive Portal 推送的軟體更新或證書安裝。
限制裝置代碼流。企業管理員應透過條件式存取（Conditional Access）策略，在不需要的地方禁用裝置代碼驗證流程，防止 MFA 被繞過。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。