Microsoftは、ロシア政府支援のStorm-2945グループがホテルや会議のWi-Fiネットワークを乗っ取り、ユーザーを偽のログインページに誘導し、悪意のあるソフトウェアをシステムアップデートとして偽装していると発表した。この攻撃は少なくとも5月初めから続いており、金融、法律、医療、エネルギー、小売、プロフェッショナルサービスなどの業界の旅行者をターゲットにしている。攻撃者は、ユーザーのデバイスコードを確認することでMicrosoft 365アカウントにアクセスし、多要素認証も回避している。

攻撃者は、ユーザーを偽のブラウザ、Windows Update、Defender、DirectX、またはネットワーク修復の警告で悪意のあるソフトウェアをダウンロードさせようとしている。これらのソフトウェアには、ユーザーのスクリーンショットを撮影し、キーボードの入力を記録し、マイクとウェブカメラを有効にするCornFlakeというリモートアクセストロイが含まれている。また、ChocoShellというPowerShellインフォスティーラーは、ブラウザのパスワード、Microsoft 365 SSOトークン、セッションクッキー、保存されたWi-Fi認証情報をターゲットにしている。

Microsoftは、攻撃者が人工知能（AI）の支援を受けてこのキャンペーンの重要な部分を支援していると指摘している。しかし、ホテルWi-Fi機器が最初にどのように乗っ取られたかはまだ調査中だ。