Microsoft Descobre Campanha Global de Malware em Wi-Fi de Hotéis

A Microsoft afirma que o Midnight Blizzard está a atacar redes Wi-Fi de hotéis e conferências em todo o mundo para roubar credenciais e distribuir malware a viajantes.

O grupo de hacking patrocinado pelo Estado russo, também conhecido como APT29, estará a operar a campanha através do Storm-2945, um dos seus subgrupos associados.

A Microsoft monitoriza a atividade como CaptiveCrunch e acredita que a campanha está em curso desde, pelo menos, maio de 2026.

Atacantes comprometem o tráfego dos portais cativos

Os atacantes visam redes de hotelaria que utilizam portais cativos, os quais normalmente pedem aos hóspedes que iniciem sessão ou aceitem os termos antes de acederem à Internet.

O Midnight Blizzard adultera o tráfego de DNS e HTTP para redirecionar os dispositivos ligados para websites maliciosos. A Microsoft encontrou indícios de que os atacantes possam ter comprometido a infraestrutura de rede partilhada, em vez de routers ou pontos de acesso individuais.

A empresa não determinou como os atacantes obtiveram acesso inicial às redes afetadas.

As redes de hotéis já enfrentaram ameaças semelhantes no passado. Anteriormente, os atacantes sequestraram o Wi-Fi de hotéis para roubar contas Microsoft 365, enquanto a Microsoft alertou recentemente para ataques de phishing direcionados a hotéis no Japão.

Páginas falsas do Microsoft 365 roubam credenciais

As vítimas que se ligam a redes Wi-Fi comprometidas podem ser direcionadas para páginas de início de sessão falsas do Microsoft 365 que recolhem nomes de utilizador e palavras-passe.

Os atacantes também utilizam phishing de código de dispositivo para abusar da autenticação do Microsoft Entra ID. Este método convence os utilizadores a introduzir um código de dispositivo com aparência legítima que concede aos atacantes acesso às suas contas.

A Microsoft observou os atacantes a utilizar ativamente estes métodos de redirecionamento a partir de julho.

Atualizações falsas instalam o malware CornFlake

Algumas vítimas veem páginas fraudulentas de atualização do navegador ou do Windows, em vez dos formulários de phishing convencionais.

Estas páginas utilizam instruções no estilo ClickFix que convencem os utilizadores a copiar comandos, executar instaladores ou correr ficheiros maliciosos. A Microsoft também encontrou sinais de que os atacantes visavam dispositivos Android com pacotes APK maliciosos.

Uma das cargas úteis principais é o CornFlake, um trojan de acesso remoto baseado em Go, concebido para manter o acesso a longo prazo a computadores Windows.

O CornFlake pode executar comandos remotos, registar as teclas premidas, monitorizar a atividade da área de transferência, capturar capturas de ecrã, roubar ficheiros, ativar o microfone e a webcam, extrair palavras-passe e cookies do navegador, roubar tokens de sessão do Microsoft 365, monitorizar dispositivos USB ligados e recolher informações detalhadas do sistema.

Durante a instalação, o CornFlake exibe uma janela de progresso falsa enquanto se copia para a pasta %AppData%. Disfarça-se como um componente legítimo do Windows chamado Cloud Sync Service.

O CornFlake utiliza vários métodos de persistência

O CornFlake pode registar-se como um serviço do Windows para ser executado automaticamente.

Também pode criar entradas de inicialização do registo, tarefas agendadas e um processo watchdog. O watchdog restaura outros mecanismos de persistência quando as equipas de segurança removem um deles.

Esta abordagem torna o malware mais difícil de remover completamente de um dispositivo infetado.

O ChocoShell rouba credenciais do navegador e da Microsoft

A Microsoft também identificou o ChocoShell, um ladrão de credenciais PowerShell em memória utilizado durante a campanha.

O ChocoShell visa cookies do navegador, palavras-passe guardadas no navegador, tokens do Microsoft 365, tokens do Azure AD e credenciais de Wi-Fi armazenadas.

Como o ChocoShell é executado principalmente em memória, pode deixar menos ficheiros para as ferramentas de segurança tradicionais detetarem.

Os atacantes gerem as vítimas através do FruitStone

A Microsoft descobriu um painel de controlo dos atacantes exposto, chamado FruitStone.

O painel permitia que os operadores gerissem os sistemas infetados, navegassem pelos ficheiros, executassem comandos PowerShell, recolhessem capturas de ecrã e revissem as teclas premidas capturadas.

A Microsoft também encontrou comentários extensos dentro do código do malware. Os comentários sugerem que os programadores podem ter utilizado ferramentas de IA ao criar ou modificar partes do malware.

Como os viajantes podem proteger os seus dispositivos

Os viajantes e as organizações devem tratar o Wi-Fi de hotéis e conferências como não confiável, mesmo quando a rede parece legítima.

A Microsoft recomenda as seguintes precauções:

• Utilizar dados móveis, um hotspot pessoal ou uma ligação empresarial gerida sempre que possível.
• Evitar instalar atualizações do navegador, atualizações do Windows ou ferramentas de segurança oferecidas através das páginas do portal cativo.
• Utilizar chaves de acesso ou outros métodos de autenticação resistentes a phishing.
• Ativar a autenticação multifator forte para contas importantes.
• Desativar a autenticação por código de dispositivo do Microsoft Entra quando a organização não precisar dela.
• Evitar introduzir credenciais empresariais ao registar-se no Wi-Fi de convidados.
• Contactar um administrador quando um portal cativo solicitar aos utilizadores que executem comandos ou transfiram software.

Em outras notícias de segurança, os pagamentos do programa de recompensas por bugs da Microsoft atingiram um recorde de 20 milhões de dólares.