Microsoft scopre una campagna malware globale via Wi-Fi degli hotel

Microsoft afferma che Midnight Blizzard sta prendendo di mira le reti Wi-Fi di hotel e conferenze in tutto il mondo per rubare credenziali e distribuire malware ai viaggiatori.

Il gruppo di hacking russo sponsorizzato dallo stato, noto anche come APT29, starebbe conducendo la campagna tramite Storm-2945, uno dei suoi sottogruppi associati.

Microsoft traccia l’attività come CaptiveCrunch e ritiene che la campagna sia attiva almeno da maggio 2026.

Gli aggressori compromettono il traffico dei captive portal

Gli aggressori prendono di mira le reti del settore alberghiero che utilizzano captive portal, i quali normalmente richiedono agli ospiti di accedere o accettare i termini prima di poter usare Internet.

Midnight Blizzard manomette il traffico DNS e HTTP per reindirizzare i dispositivi connessi verso siti web dannosi. Microsoft ha trovato prove che gli aggressori potrebbero aver compromesso infrastrutture di rete condivise anziché singoli router o punti di accesso.

L’azienda non ha stabilito come gli aggressori abbiano ottenuto l’accesso iniziale alle reti interessate.

Le reti degli hotel hanno già affrontato minacce simili in passato. In precedenza, gli aggressori hanno dirottato il Wi-Fi degli hotel per rubare account Microsoft 365, mentre Microsoft ha recentemente messo in guardia sugli attacchi di phishing rivolti agli hotel in Giappone.

Pagine Microsoft 365 false rubano le credenziali

Le vittime che si collegano a un Wi-Fi compromesso possono finire su false pagine di accesso a Microsoft 365 che raccolgono nomi utente e password.

Gli aggressori utilizzano anche il device-code phishing per abusare dell’autenticazione di Microsoft Entra ID. Questo metodo convince gli utenti a inserire un codice dispositivo dall’aspetto legittimo che concede agli aggressori l’accesso ai loro account.

Microsoft ha osservato gli aggressori utilizzare attivamente questi metodi di reindirizzamento a partire da luglio.

Falsi aggiornamenti installano il malware CornFlake

Alcune vittime visualizzano pagine fraudolente di aggiornamento del browser o di Windows invece dei convenzionali moduli di phishing.

Queste pagine utilizzano istruzioni in stile ClickFix che convincono gli utenti a copiare comandi, avviare programmi di installazione o eseguire file dannosi. Microsoft ha anche trovato indizi che gli aggressori abbiano preso di mira dispositivi Android con pacchetti APK dannosi.

Uno dei payload principali è CornFlake, un trojan di accesso remoto basato su Go progettato per mantenere un accesso a lungo termine ai computer Windows.

CornFlake può eseguire comandi remoti, registrare le sequenze di tasti, monitorare l’attività degli appunti, catturare screenshot, rubare file, attivare il microfono e la webcam, estrarre password e cookie del browser, rubare i token di sessione di Microsoft 365, monitorare i dispositivi USB collegati e raccogliere informazioni dettagliate sul sistema.

Durante l’installazione, CornFlake mostra una falsa finestra di avanzamento mentre si copia nella cartella %AppData%. Si maschera da legittimo componente di Windows chiamato Cloud Sync Service.

CornFlake utilizza diversi metodi di persistenza

CornFlake può registrarsi come servizio di Windows per essere eseguito automaticamente.

Può anche creare voci di esecuzione automatica nel registro di sistema, attività pianificate e un processo watchdog. Il watchdog ripristina altri meccanismi di persistenza quando i team di sicurezza ne rimuovono uno.

Questo approccio rende il malware più difficile da rimuovere completamente da un dispositivo infetto.

ChocoShell ruba le credenziali del browser e di Microsoft

Microsoft ha anche identificato ChocoShell, un malware PowerShell che ruba credenziali e viene eseguito in memoria, utilizzato durante la campagna.

ChocoShell prende di mira i cookie del browser, le password salvate nel browser, i token di Microsoft 365, i token di Azure AD e le credenziali Wi-Fi memorizzate.

Poiché ChocoShell viene eseguito principalmente in memoria, potrebbe lasciare meno file che gli strumenti di sicurezza tradizionali possono rilevare.

Gli aggressori gestiscono le vittime tramite FruitStone

Microsoft ha scoperto un pannello di controllo esposto dell’aggressore chiamato FruitStone.

Il pannello consentiva agli operatori di gestire i sistemi infetti, sfogliare i file, eseguire comandi PowerShell, raccogliere screenshot e rivedere le sequenze di tasti catturate.

Microsoft ha anche trovato ampi commenti all’interno del codice del malware. I commenti suggeriscono che gli sviluppatori potrebbero aver utilizzato strumenti di IA durante la creazione o la modifica di parti del malware.

Come i viaggiatori possono proteggere i propri dispositivi

I viaggiatori e le organizzazioni dovrebbero considerare il Wi-Fi di hotel e conferenze come non affidabile, anche quando la rete sembra legittima.

Microsoft raccomanda le seguenti precauzioni:

• Utilizzare la rete cellulare, un hotspot personale o una connessione aziendale gestita, quando possibile.
• Evitare di installare aggiornamenti del browser, aggiornamenti di Windows o strumenti di sicurezza offerti tramite le pagine del captive portal.
• Utilizzare passkey o altri metodi di autenticazione resistenti al phishing.
• Abilitare l’autenticazione a più fattori avanzata per gli account importanti.
• Disabilitare l’autenticazione tramite codice dispositivo di Microsoft Entra quando l’organizzazione non ne ha bisogno.
• Evitare di inserire credenziali aziendali durante la registrazione al Wi-Fi ospite.
• Contattare un amministratore quando un captive portal chiede di eseguire comandi o scaricare software.

In altre notizie sulla sicurezza, i pagamenti dei bug bounty di Microsoft hanno raggiunto la cifra record di 20 milioni di dollari.