Microsoft svela una campagna malware globale sui Wi-Fi degli hotel

Microsoft afferma che Midnight Blizzard sta prendendo di mira le reti Wi-Fi di hotel e conferenze in tutto il mondo per rubare credenziali e distribuire malware ai viaggiatori.

Il gruppo di hacker sponsorizzato dallo stato russo, noto anche come APT29, conduce secondo quanto riferito la campagna attraverso Storm-2945, uno dei suoi sottogruppi associati.

Microsoft traccia l’attività come CaptiveCrunch e ritiene che la campagna sia in corso almeno da maggio 2026.

Gli aggressori compromettono il traffico dei captive portal

Gli aggressori prendono di mira le reti del settore ospitalità che utilizzano captive portal, i quali normalmente chiedono agli ospiti di accedere o accettare i termini prima di accedere a Internet.

Midnight Blizzard manomette il traffico DNS e HTTP per reindirizzare i dispositivi connessi verso siti Web dannosi. Microsoft ha trovato prove che gli aggressori potrebbero aver compromesso l’infrastruttura di rete condivisa anziché singoli router o punti di accesso.

L’azienda non ha determinato come gli aggressori abbiano inizialmente ottenuto l’accesso alle reti interessate.

Le reti degli hotel hanno già affrontato minacce simili in passato. Gli aggressori hanno precedentemente dirottato il Wi-Fi degli hotel per rubare account Microsoft 365, mentre Microsoft ha recentemente avvertito di attacchi di phishing che prendono di mira gli hotel in Giappone.

Pagine false di Microsoft 365 rubano le credenziali

Le vittime che si connettono al Wi-Fi compromesso possono finire su pagine di accesso false di Microsoft 365 che raccolgono nomi utente e password.

Gli aggressori utilizzano anche il phishing tramite codice dispositivo per abusare dell’autenticazione di Microsoft Entra ID. Questo metodo convince gli utenti a inserire un codice dispositivo dall’aspetto legittimo che concede agli aggressori l’accesso ai loro account.

Microsoft ha osservato gli aggressori utilizzare attivamente questi metodi di reindirizzamento a partire da luglio.

Falsi aggiornamenti installano il malware CornFlake

Alcune vittime vedono pagine di aggiornamento del browser o di Windows fraudolente invece dei moduli di phishing convenzionali.

Queste pagine utilizzano istruzioni in stile ClickFix che convincono gli utenti a copiare comandi, avviare programmi di installazione o eseguire file dannosi. Microsoft ha anche trovato segni che gli aggressori hanno preso di mira dispositivi Android con pacchetti APK dannosi.

Uno dei payload principali è CornFlake, un trojan di accesso remoto basato su Go progettato per mantenere l’accesso a lungo termine ai computer Windows.

CornFlake può eseguire comandi remoti, registrare le sequenze di tasti, monitorare l’attività degli appunti, acquisire screenshot, rubare file, attivare il microfono e la webcam, estrarre password e cookie del browser, rubare token di sessione di Microsoft 365, monitorare i dispositivi USB collegati e raccogliere informazioni dettagliate sul sistema.

Durante l’installazione, CornFlake visualizza una finestra di avanzamento falsa mentre si copia nella cartella %AppData%. Si maschera da un componente Windows legittimo chiamato Cloud Sync Service.

CornFlake utilizza diversi metodi di persistenza

CornFlake può registrarsi come servizio Windows per essere eseguito automaticamente.

Può anche creare voci di avvio del Registro, attività pianificate e un processo watchdog. Il watchdog ripristina altri meccanismi di persistenza quando i team di sicurezza ne rimuovono uno.

Questo approccio rende il malware più difficile da rimuovere completamente da un dispositivo infetto.

ChocoShell ruba le credenziali del browser e di Microsoft

Microsoft ha anche identificato ChocoShell, un ladro di credenziali PowerShell in memoria utilizzato durante la campagna.

ChocoShell prende di mira i cookie del browser, le password del browser salvate, i token di Microsoft 365, i token di Azure AD e le credenziali Wi-Fi memorizzate.

Poiché ChocoShell viene eseguito principalmente in memoria, potrebbe lasciare meno file da rilevare per gli strumenti di sicurezza tradizionali.

Gli aggressori gestiscono le vittime tramite FruitStone

Microsoft ha scoperto un pannello di controllo degli aggressori esposto chiamato FruitStone.

Il pannello permetteva agli operatori di gestire i sistemi infetti, esplorare i file, eseguire comandi PowerShell, raccogliere screenshot e rivedere le sequenze di tasti catturate.

Microsoft ha anche trovato commenti estesi all’interno del codice del malware. I commenti suggeriscono che gli sviluppatori potrebbero aver utilizzato strumenti di IA durante la creazione o la modifica di parti del malware.

Come i viaggiatori possono proteggere i propri dispositivi

I viaggiatori e le organizzazioni dovrebbero considerare il Wi-Fi di hotel e conferenze come non attendibile, anche quando la rete sembra legittima.

Microsoft raccomanda le seguenti precauzioni:

• Utilizzare i dati cellulari, un hotspot personale o una connessione aziendale gestita quando possibile.
• Evitare di installare aggiornamenti del browser, aggiornamenti di Windows o strumenti di sicurezza offerti tramite le pagine del captive portal.
• Utilizzare passkey o altri metodi di autenticazione resistenti al phishing.
• Abilitare un’autenticazione a più fattori robusta per gli account importanti.
• Disabilitare l’autenticazione tramite codice dispositivo di Microsoft Entra quando l’organizzazione non ne ha bisogno.
• Evitare di inserire le credenziali aziendali quando ci si registra per il Wi-Fi ospite.
• Contattare un amministratore quando un captive portal chiede agli utenti di eseguire comandi o scaricare software.

In altre notizie di sicurezza, i pagamenti dei bug bounty di Microsoft hanno raggiunto il record di 20 milioni di dollari.