WiFi Hotel Russi: Così APT29 Entra in Office

TL;DR

• Cosa imparerai: Come APT29 sfrutta WiFi hotel per compromettere Microsoft 365, rilevamento e difesa • Tempo richiesto: 45 minuti per controllo completo + hardening • Difficoltà: Intermedia - richiede accesso admin Azure/Office 365

IL PROBLEMA

Se i tuoi utenti viaggiano per lavoro e si collegano al WiFi degli hotel, probabilmente stai già pensando "cavolo, e ora?".

Microsoft ha appena collegato una campagna globale al gruppo russo APT29 (aka Midnight Blizzard) che usa WiFi compromessi negli hotel per installare malware custom sui device aziendali. Il malware si chiama "GraphicalProton" e fa una cosa molto semplice: ruba i token di accesso a Microsoft 365.

Il bello? Non serve rubare password. Il malware intercetta i token di sessione e li usa per accedere direttamente agli account Office 365. I log mostrano accessi "legittimi" perché tecnicamente lo sono - stanno usando le tue credenziali valide.

Se stai leggendo questo probabilmente hai visto traffico sospetto dai tuoi utenti in trasferta, o peggio ancora, hai ricevuto alert di accessi anomali da location strane. I sintomi tipici:

• Accessi Office 365 da IP geo-localizzati in hotel ma con user-agent strani • Token di accesso che durano più del normale • Sincronizzazione anomala di email verso client sconosciuti • Attività su SharePoint/OneDrive fuori orario

PREREQUISITI

• Accesso Global Admin su Microsoft 365/Azure AD • Accesso ai log di Entra ID (ex Azure AD) e Office 365 • PowerShell con modulo Microsoft Graph installato • Possibilmente accesso ai log del tuo proxy/firewall aziendale

STEP-BY-STEP

Step 1: Verifica Accessi Sospetti da Hotel

Prima cosa: controlla gli accessi Office 365 delle ultime 4 settimane per utenti in trasferta.

# Connetti a Microsoft Graph
Connect-MgGraph -Scopes "AuditLog.Read.All","Directory.Read.All"

# Cerca accessi da IP di hotel/location sospette
Get-MgAuditLogSignIn -Filter "createdDateTime ge 2024-01-01" | 
Where-Object {$_.Location.CountryOrRegion -ne "Italy" -and $_.RiskDetail -eq "none"} |
Select-Object UserPrincipalName, CreatedDateTime, IpAddress, Location, ClientAppUsed

Guarda in particolare: • Accessi da paesi dove hai dipendenti in trasferta • User-agent che non corrispondono ai device aziendali • Sessioni che durano ore senza interruzione

Step 2: Analisi Token Anomali

APT29 usa token rubati che spesso hanno caratteristiche specifiche.

# Controlla token con durata anomala
Get-MgAuditLogSignIn -Filter "createdDateTime ge 2024-01-01" |
Where-Object {$_.TokenIssuerType -eq "AzureAD" -and $_.IsInteractive -eq $false} |
Group-Object UserPrincipalName | Where-Object {$_.Count -gt 50}

I token rubati generano molti accessi non-interattivi in poco tempo. Se vedi lo stesso utente con 50+ accessi non-interattivi in un giorno, indaga.

Step 3: Hunting nei Log Email

Il malware spesso esfiltra email. Cerca pattern di sincronizzazione anomali.

# Controlla sync Exchange inusuali
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) \
-Operations "MailItemsAccessed" -ResultSize 5000 |
Where-Object {$_.ClientIP -notlike "192.168.*" -and $_.ClientIP -notlike "10.*"}

Focusati su: • Sync di grandi quantità di email in orari strani • Client Exchange sconosciuti • Accessi a cartelle specifiche (spesso "Inviati" e "Importanti")

Step 4: Identifica Device Compromessi

APT29 installa il malware su laptop Windows. Cerca device con comportamenti anomali.

# Lista device con accessi da IP multipli
Get-MgAuditLogSignIn -Filter "createdDateTime ge 2024-01-01" |
Group-Object DeviceDetail_DeviceId | 
Where-Object {$_.Count -gt 10} |
ForEach-Object {
    $deviceId = $_.Name
    $ips = $_.Group | Select-Object -Unique IpAddress
    if ($ips.Count -gt 5) {
        Write-Host "Device sospetto: $deviceId - IPs: $($ips.Count)"
    }
}

Un device aziendale normale non dovrebbe avere 5+ IP diversi in un mese, a meno che l'utente non viaggi molto.

Step 5: Revoca Token e Reset

Per utenti compromessi, revoca tutti i token attivi.

# Revoca tutti i token per un utente
Revoke-MgUserSignInSession -UserId "user@company.com"

# Forza cambio password
Update-MgUser -UserId "user@company.com" -PasswordProfile @{
    ForceChangePasswordNextSignIn = $true
    Password = "TempPass123!"
}

Step 6: Implementa Conditional Access

Crea policy che blocchino accessi da location rischiose.

{
    "displayName": "Block Hotel WiFi Access",
    "conditions": {
        "locations": {
            "includeLocations": ["AllTrusted"],
            "excludeLocations": ["MFA-Trusted-IPs"]
        }
    },
    "grantControls": {
        "operator": "OR",
        "builtInControls": ["mfa", "compliantDevice"]
    }
}

Non bloccare completamente - richiedi MFA + device compliance per accessi da location "untrusted".

VERIFICA

Per testare se le tue difese funzionano:

1. Simula accesso da hotel: Usa VPN con IP di hotel noto e tenta login Office 365
2. Controlla alert: Dovresti ricevere notifiche di "rischio elevato" o "location inusuale"
3. Verifica MFA trigger: Il conditional access deve richiedere autenticazione aggiuntiva
4. Test token lifetime: I token devono scadere secondo le policy impostate

Strumenti utili:

# Test connettività da IP sospetto
curl -H "Authorization: Bearer TOKEN" \
https://graph.microsoft.com/v1.0/me/messages

# Dovrebbe ritornare 401 o richiedere re-auth

Se riesci ad accedere senza MFA da IP "untrusted", le policy non funzionano.

TROUBLESHOOTING

Q: I log non mostrano accessi sospetti ma ho alert di compromissione A: APT29 è bravo a nascondersi. Controlla anche i log di Exchange Online e SharePoint, non solo Entra ID.

Q: Conditional Access blocca tutti i viaggiatori A: Crea una "Trusted Locations" list con hotel chain principali e aeroporti. Richiedi MFA, non bloccare totalmente.

Q: Come distinguo malware da VPN aziendale? A: I malware generano pattern di traffico diversi - molti accessi brevi vs sessioni lunghe normali. Guarda la durata delle sessioni.

Q: Gli utenti si lamentano di troppi prompt MFA A: Implementa "Remember MFA for 30 days" per device compliant e trusted locations.

Q: Il malware persiste dopo il reset password? A: GraphicalProton ruba token, non password. Devi revocare TUTTI i token attivi e forzare re-enrollment MFA.

CONCLUSIONE

APT29 ha alzato il livello - non rubano più password, rubano direttamente i token di sessione. Questo rende inutili molte difese tradizionali.

Le contromisure chiave: • Conditional Access geografico con MFA obbligatorio • Monitoring proattivo dei token lifetime • Device compliance obbligatorio per accessi "untrusted" • Educazione utenti sui rischi WiFi hotel

Prossimi passi: implementa un sistema di monitoring continuo per token anomali e considera soluzioni di protezione email avanzate che rilevano pattern di esfiltrazione anche quando i token sono "legittimi".