{"id":17725,"date":"2026-08-04T10:53:09","date_gmt":"2026-08-04T10:53:09","guid":{"rendered":"https:\/\/windowsreport.com\/es\/microsoft-descubre-una-campana-mundial-de-malware-en-el-wi-fi-de-hoteles\/"},"modified":"2026-08-04T10:58:00","modified_gmt":"2026-08-04T10:58:00","slug":"microsoft-descubre-una-campana-mundial-de-malware-en-el-wi-fi-de-hoteles","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/es\/microsoft-descubre-una-campana-mundial-de-malware-en-el-wi-fi-de-hoteles\/","title":{"rendered":"Microsoft descubre una campa\u00f1a global de malware en redes Wi-Fi de hoteles"},"content":{"rendered":"\n

Microsoft afirma que Midnight Blizzard est\u00e1 atacando redes Wi-Fi de hoteles y salas de conferencias en todo el mundo para robar credenciales y distribuir malware a los viajeros.<\/p>\n\n\n\n

El grupo de pirater\u00eda inform\u00e1tica patrocinado por el estado ruso, tambi\u00e9n conocido como APT29, supuestamente opera la campa\u00f1a a trav\u00e9s de Storm-2945, uno de sus subgrupos asociados.<\/p>\n\n\n\n

Microsoft rastrea la actividad como CaptiveCrunch<\/a> y cree que la campa\u00f1a ha estado activa al menos desde mayo de 2026.<\/p>\n\n\n\n

Los atacantes comprometen el tr\u00e1fico de los portales cautivos<\/h2>\n\n\n\n

Los atacantes apuntan a redes de hosteler\u00eda que utilizan portales cautivos, los cuales normalmente piden a los hu\u00e9spedes que inicien sesi\u00f3n o acepten los t\u00e9rminos antes de acceder a internet.<\/p>\n\n\n\n

Midnight Blizzard manipula el tr\u00e1fico DNS y HTTP para redirigir los dispositivos conectados hacia sitios web maliciosos. Microsoft encontr\u00f3 pruebas de que los atacantes podr\u00edan haber comprometido infraestructura de red compartida en lugar de enrutadores individuales o puntos de acceso.<\/p>\n\n\n\n

La empresa no ha determinado c\u00f3mo los atacantes obtuvieron acceso inicialmente a las redes afectadas.<\/p>\n\n\n\n

Las redes de hoteles ya han enfrentado amenazas similares anteriormente. En el pasado, los atacantes secuestraban el Wi-Fi de hoteles para robar cuentas de Microsoft 365, mientras que Microsoft advirti\u00f3 recientemente sobre ataques de phishing dirigidos a hoteles en Jap\u00f3n.<\/p>\n\n\n\n

P\u00e1ginas falsas de Microsoft 365 roban credenciales<\/h3>\n\n\n\n

Las v\u00edctimas que se conectan a una red Wi\u2011Fi comprometida pueden caer en p\u00e1ginas de inicio de sesi\u00f3n falsas de Microsoft 365 que recopilan nombres de usuario y contrase\u00f1as.<\/p>\n\n\n\n

Los atacantes tambi\u00e9n utilizan el phishing de c\u00f3digo de dispositivo para abusar de la autenticaci\u00f3n de Microsoft Entra ID. Este m\u00e9todo convence a los usuarios de que introduzcan un c\u00f3digo de dispositivo de aspecto leg\u00edtimo que otorga a los atacantes acceso a sus cuentas.<\/p>\n\n\n\n

Microsoft observ\u00f3 que los atacantes utilizaban activamente estos m\u00e9todos de redirecci\u00f3n a partir de julio.<\/p>\n\n\n\n

Actualizaciones falsas instalan el malware CornFlake<\/h3>\n\n\n\n

Algunas v\u00edctimas ven p\u00e1ginas fraudulentas de actualizaci\u00f3n del navegador o de Windows en lugar de formularios de phishing convencionales.<\/p>\n\n\n\n

Estas p\u00e1ginas utilizan instrucciones al estilo ClickFix que persuaden a los usuarios para que copien comandos, inicien instaladores o ejecuten archivos maliciosos. Microsoft tambi\u00e9n encontr\u00f3 indicios de que los atacantes apuntaban a dispositivos Android con paquetes APK maliciosos.<\/p>\n\n\n\n

Una de las cargas \u00fatiles principales es CornFlake, un troyano de acceso remoto basado en Go dise\u00f1ado para mantener el acceso a largo plazo a equipos con Windows.<\/p>\n\n\n\n

CornFlake puede ejecutar comandos remotos, registrar las pulsaciones de teclas, supervisar la actividad del portapapeles, capturar capturas de pantalla, robar archivos, activar el micr\u00f3fono y la c\u00e1mara web, extraer contrase\u00f1as y cookies del navegador, robar tokens de sesi\u00f3n de Microsoft 365, supervisar los dispositivos USB conectados y recopilar informaci\u00f3n detallada del sistema.<\/p>\n\n\n\n

Durante la instalaci\u00f3n, CornFlake muestra una ventana de progreso falsa mientras se copia a la carpeta %AppData%. Se disfraza como un componente leg\u00edtimo de Windows llamado Cloud Sync Service.<\/p>\n\n\n\n

CornFlake utiliza varios m\u00e9todos de persistencia<\/h3>\n\n\n\n

CornFlake puede registrarse como un servicio de Windows para ejecutarse autom\u00e1ticamente.<\/p>\n\n\n\n

Tambi\u00e9n puede crear entradas de inicio en el registro, tareas programadas y un proceso watchdog. El watchdog restaura otros mecanismos de persistencia cuando los equipos de seguridad eliminan uno de ellos.<\/p>\n\n\n\n

Este enfoque hace que el malware sea m\u00e1s dif\u00edcil de eliminar por completo de un dispositivo infectado.<\/p>\n\n\n\n

ChocoShell roba credenciales del navegador y de Microsoft<\/h3>\n\n\n\n

Microsoft tambi\u00e9n identific\u00f3 ChocoShell, un ladr\u00f3n de credenciales de PowerShell que se ejecuta en memoria y que se us\u00f3 durante la campa\u00f1a.<\/p>\n\n\n\n

ChocoShell se centra en las cookies del navegador, las contrase\u00f1as guardadas del navegador, los tokens de Microsoft 365, los tokens de Azure AD y las credenciales de Wi\u2011Fi almacenadas.<\/p>\n\n\n\n

Dado que ChocoShell se ejecuta principalmente en memoria, puede dejar menos archivos para que las herramientas de seguridad tradicionales los detecten.<\/p>\n\n\n\n

Los atacantes gestionan a las v\u00edctimas a trav\u00e9s de FruitStone<\/h3>\n\n\n\n

Microsoft descubri\u00f3 un panel de control de atacantes expuesto llamado FruitStone.<\/p>\n\n\n\n

El panel permit\u00eda a los operadores gestionar los sistemas infectados, examinar archivos, ejecutar comandos de PowerShell, recopilar capturas de pantalla y revisar las pulsaciones de teclas capturadas.<\/p>\n\n\n\n

Microsoft tambi\u00e9n encontr\u00f3 numerosos comentarios dentro del c\u00f3digo del malware. Los comentarios sugieren que los desarrolladores podr\u00edan haber utilizado herramientas de IA al crear o modificar partes del malware.<\/p>\n\n\n\n

C\u00f3mo pueden los viajeros proteger sus dispositivos<\/h3>\n\n\n\n

Los viajeros y las organizaciones deben tratar las redes Wi\u2011Fi de hoteles y salas de conferencias como no confiables, incluso cuando la red parezca leg\u00edtima.<\/p>\n\n\n\n

Microsoft recomienda las siguientes precauciones:<\/p>\n\n\n\n