一直以來，負責酒店網絡安全的服務提供商都在竭力降低客用Wi-Fi的脆弱性并增強對綜合性網絡威脅的防范意識。從阻止端到端流量到添加熱點2.0，酒店網絡提供商在保護入住賓客的上網安全方面發揮著重要作用。然而，由卡巴斯基發布的新研究結果顯示，這些措施仍有不足之處，具體而言，它們對一種代號為“DarkHotel”的高級持續性威脅(AdvancedPersistentThreat，APT) 無能為力。
道高一尺，魔高一丈
DarkHotel指的是利用酒店的無線網絡有針對性的瞄準高管而做的攻擊。它不僅能做到偵查未加密的Wi-Fi流量、記錄未保護密碼、抓取SSL會話cookies——這些服務提供商早已能夠檢測和攔截的普通Wi-Fi威脅，而且經過7年的進化，DarkHotel還可以通過酒店網絡基礎設施對高端酒店和商務中心發起有針對性的魚叉式網絡釣魚攻擊。
根據卡巴斯基的報告[1]，DarkHotel不僅是一種開源式攻擊工具或手段，而且是一種在全球各大酒店無線網絡中運行的高級持續性威脅。它至少在2007年就出現了，主要分布于日本、臺灣地區、中國大陸、中國香港、俄羅斯和韓國。DarkHotel的實施者（名為“Tapaoux”）似乎專門瞄準入住受攻擊酒店與商務中心的大公司高管。國際執法機構仍在積極抓捕這一威脅的實施者，同時清理受攻擊的地點，關閉用于收集受害者數據的域名。
那么，DarkHotel用什么來攻擊受害者？盡管工具繁多，DarkHotel傾向于靜待受害者訪問受攻擊酒店的無線網絡門戶，然后通過該門戶植入木馬病毒，并通過GoogleToolbar或者最新的AdobeFlash等合法軟件進行打包。一旦受害者的設備受到感染，木馬病毒即刻聯系指令控制（C&C）服務器安裝更高級的攻擊工具并竊取數據。有趣的是，并非所有訪問泄密門戶的用戶都會受到攻擊，這表明DarkHotel可能會利用訪問酒店門戶網站所需的賓客姓名與房間號鑒別高價值的受害者并發起魚叉式網絡釣魚攻擊。
如何回擊
卡巴斯基報告指出，受到攻擊的門戶網站會被感染嵌入式iFrame標簽。該iFrame標簽重新定向錨定受害者的網絡瀏覽器，偽裝安裝程序，再重新打包以嵌入DarkHotel木馬病毒。并且，DarkHotel能夠在短時間內感染指定場所的門戶網站、攻擊受害者、移除iFrame并采刪除攻擊痕跡。因此，為酒店無線登錄網站實施針對可疑iFrame的一次性檢查不足以阻止DarkHotel。
實際上，酒店網絡的運營者應持續監控DarkHotel的運行跡象，包括流向知名DarkHotel指令控制服務器與域名的反向信道流量。一些DarkHotel域名已經遭到陷洞攻擊，即重定向至卡巴斯基的陷洞服務器[2]。但是，由于這些指令控制不斷更改，運營方還應注意并阻止任何由其自身門戶網站發起的瀏覽器重新定向。此類流量可以在被發現后立刻發出警報，并使用無線或有線IPS（互聯網協議群）加以制止。
此外，酒店網絡運營者還可以使用基于網絡的反惡意軟件，檢查來自與DarkHotel相關的根證書或者有經證書授權中心認可的軟件的流量[3]。該方法可作為第二級防護手段，在iFrame成功重新定向之后與IPS搭配使用。
目前，國際上正在積極消滅DarkHotel，并將其幕后實施者繩之以法。但是全球的酒店網絡運營者應從中吸取經驗教訓：除了攔截無線網絡的流量，或提供實時加密以外，還需采取防護措施，鎖定酒店網絡基礎設施以及時刻關注對上酒店內網賓客的遠程攻擊跡象，才能確保酒店賓客的上網安全。
京公網安備 11010502049343號