{"id":6163,"date":"2026-08-04T11:00:37","date_gmt":"2026-08-04T11:00:37","guid":{"rendered":"https:\/\/windowsreport.com\/pt\/microsoft-descobre-campanha-global-de-malware-em-wi-fi-de-hoteis-2\/"},"modified":"2026-08-04T11:00:37","modified_gmt":"2026-08-04T11:00:37","slug":"microsoft-descobre-campanha-global-de-malware-em-wi-fi-de-hoteis-2","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/pt\/microsoft-descobre-campanha-global-de-malware-em-wi-fi-de-hoteis-2\/","title":{"rendered":"Microsoft Descobre Campanha Global de Malware em Wi-Fi de Hot\u00e9is"},"content":{"rendered":"\n

A Microsoft afirma que o Midnight Blizzard est\u00e1 a atacar redes Wi-Fi de hot\u00e9is e confer\u00eancias em todo o mundo para roubar credenciais e distribuir malware a viajantes.<\/p>\n\n\n\n

O grupo de hacking patrocinado pelo Estado russo, tamb\u00e9m conhecido como APT29, estar\u00e1 a operar a campanha atrav\u00e9s do Storm-2945, um dos seus subgrupos associados.<\/p>\n\n\n\n

A Microsoft monitoriza a atividade como CaptiveCrunch<\/a> e acredita que a campanha est\u00e1 em curso desde, pelo menos, maio de 2026.<\/p>\n\n\n\n

Atacantes comprometem o tr\u00e1fego dos portais cativos<\/h2>\n\n\n\n

Os atacantes visam redes de hotelaria que utilizam portais cativos, os quais normalmente pedem aos h\u00f3spedes que iniciem sess\u00e3o ou aceitem os termos antes de acederem \u00e0 Internet.<\/p>\n\n\n\n

O Midnight Blizzard adultera o tr\u00e1fego de DNS e HTTP para redirecionar os dispositivos ligados para websites maliciosos. A Microsoft encontrou ind\u00edcios de que os atacantes possam ter comprometido a infraestrutura de rede partilhada, em vez de routers ou pontos de acesso individuais.<\/p>\n\n\n\n

A empresa n\u00e3o determinou como os atacantes obtiveram acesso inicial \u00e0s redes afetadas.<\/p>\n\n\n\n

As redes de hot\u00e9is j\u00e1 enfrentaram amea\u00e7as semelhantes no passado. Anteriormente, os atacantes sequestraram o Wi-Fi de hot\u00e9is para roubar contas Microsoft 365, enquanto a Microsoft alertou recentemente para ataques de phishing direcionados a hot\u00e9is no Jap\u00e3o.<\/p>\n\n\n\n

P\u00e1ginas falsas do Microsoft 365 roubam credenciais<\/h3>\n\n\n\n

As v\u00edtimas que se ligam a redes Wi-Fi comprometidas podem ser direcionadas para p\u00e1ginas de in\u00edcio de sess\u00e3o falsas do Microsoft 365 que recolhem nomes de utilizador e palavras-passe.<\/p>\n\n\n\n

Os atacantes tamb\u00e9m utilizam phishing de c\u00f3digo de dispositivo para abusar da autentica\u00e7\u00e3o do Microsoft Entra ID. Este m\u00e9todo convence os utilizadores a introduzir um c\u00f3digo de dispositivo com apar\u00eancia leg\u00edtima que concede aos atacantes acesso \u00e0s suas contas.<\/p>\n\n\n\n

A Microsoft observou os atacantes a utilizar ativamente estes m\u00e9todos de redirecionamento a partir de julho.<\/p>\n\n\n\n

Atualiza\u00e7\u00f5es falsas instalam o malware CornFlake<\/h3>\n\n\n\n

Algumas v\u00edtimas veem p\u00e1ginas fraudulentas de atualiza\u00e7\u00e3o do navegador ou do Windows, em vez dos formul\u00e1rios de phishing convencionais.<\/p>\n\n\n\n

Estas p\u00e1ginas utilizam instru\u00e7\u00f5es no estilo ClickFix que convencem os utilizadores a copiar comandos, executar instaladores ou correr ficheiros maliciosos. A Microsoft tamb\u00e9m encontrou sinais de que os atacantes visavam dispositivos Android com pacotes APK maliciosos.<\/p>\n\n\n\n

Uma das cargas \u00fateis principais \u00e9 o CornFlake, um trojan de acesso remoto baseado em Go, concebido para manter o acesso a longo prazo a computadores Windows.<\/p>\n\n\n\n

O CornFlake pode executar comandos remotos, registar as teclas premidas, monitorizar a atividade da \u00e1rea de transfer\u00eancia, capturar capturas de ecr\u00e3, roubar ficheiros, ativar o microfone e a webcam, extrair palavras-passe e cookies do navegador, roubar tokens de sess\u00e3o do Microsoft 365, monitorizar dispositivos USB ligados e recolher informa\u00e7\u00f5es detalhadas do sistema.<\/p>\n\n\n\n

Durante a instala\u00e7\u00e3o, o CornFlake exibe uma janela de progresso falsa enquanto se copia para a pasta %AppData%. Disfar\u00e7a-se como um componente leg\u00edtimo do Windows chamado Cloud Sync Service.<\/p>\n\n\n\n

O CornFlake utiliza v\u00e1rios m\u00e9todos de persist\u00eancia<\/h3>\n\n\n\n

O CornFlake pode registar-se como um servi\u00e7o do Windows para ser executado automaticamente.<\/p>\n\n\n\n

Tamb\u00e9m pode criar entradas de inicializa\u00e7\u00e3o do registo, tarefas agendadas e um processo watchdog. O watchdog restaura outros mecanismos de persist\u00eancia quando as equipas de seguran\u00e7a removem um deles.<\/p>\n\n\n\n

Esta abordagem torna o malware mais dif\u00edcil de remover completamente de um dispositivo infetado.<\/p>\n\n\n\n

O ChocoShell rouba credenciais do navegador e da Microsoft<\/h3>\n\n\n\n

A Microsoft tamb\u00e9m identificou o ChocoShell, um ladr\u00e3o de credenciais PowerShell em mem\u00f3ria utilizado durante a campanha.<\/p>\n\n\n\n

O ChocoShell visa cookies do navegador, palavras-passe guardadas no navegador, tokens do Microsoft 365, tokens do Azure AD e credenciais de Wi-Fi armazenadas.<\/p>\n\n\n\n

Como o ChocoShell \u00e9 executado principalmente em mem\u00f3ria, pode deixar menos ficheiros para as ferramentas de seguran\u00e7a tradicionais detetarem.<\/p>\n\n\n\n

Os atacantes gerem as v\u00edtimas atrav\u00e9s do FruitStone<\/h3>\n\n\n\n

A Microsoft descobriu um painel de controlo dos atacantes exposto, chamado FruitStone.<\/p>\n\n\n\n

O painel permitia que os operadores gerissem os sistemas infetados, navegassem pelos ficheiros, executassem comandos PowerShell, recolhessem capturas de ecr\u00e3 e revissem as teclas premidas capturadas.<\/p>\n\n\n\n

A Microsoft tamb\u00e9m encontrou coment\u00e1rios extensos dentro do c\u00f3digo do malware. Os coment\u00e1rios sugerem que os programadores podem ter utilizado ferramentas de IA ao criar ou modificar partes do malware.<\/p>\n\n\n\n

Como os viajantes podem proteger os seus dispositivos<\/h3>\n\n\n\n

Os viajantes e as organiza\u00e7\u00f5es devem tratar o Wi-Fi de hot\u00e9is e confer\u00eancias como n\u00e3o confi\u00e1vel, mesmo quando a rede parece leg\u00edtima.<\/p>\n\n\n\n

A Microsoft recomenda as seguintes precau\u00e7\u00f5es:<\/p>\n\n\n\n