Campanha explora redes de hospitalidade
A Microsoft vinculou uma campanha global contra redes Wi-Fi do setor de hospitalidade ao Midnight Blizzard, também conhecido como APT29. A atividade já havia sido divulgada pela ReliaQuest.
Batizada de CaptiveCrunch, a campanha estaria ativa desde pelo menos o início de maio. A Microsoft também observou operações de phishing por código de dispositivo e OAuth desde fevereiro.
Segundo a análise, os atacantes manipulam tráfego DNS e HTTP em redes atendidas por equipamentos de portal cativo. Isso permite interceptar conexões em redes Wi-Fi de hotéis e centros de conferências. A Microsoft não determinou o vetor exato de comprometimento inicial, mas identificou indícios de invasões em infraestrutura compartilhada, e não apenas em dispositivos isolados.
Phishing, ClickFix e roubo de credenciais
Após alterar configurações de DNS, o grupo pode redirecionar vítimas para páginas que imitam o login do Microsoft 365 ou para páginas de phishing que abusam de fluxos de autenticação do Microsoft Entra ID por código de dispositivo. A Microsoft observou essa atividade desde julho.
Outra técnica usa páginas falsas de atualização de navegador ou sistema operacional para entregar malware ao Windows por meio de prompts ClickFix. Em alguns desses destinos, houve indícios de tentativas de entregar um arquivo APK a dispositivos Android.
A Microsoft identificou dois malwares para Windows. O CornFlake é um trojan de acesso remoto desenvolvido em Go, com mecanismos de persistência. Já o ChocoShell é um ladrão de credenciais em PowerShell executado em memória, voltado a cookies de navegadores, senhas salvas, tokens do Microsoft 365 e Azure AD e credenciais de Wi-Fi. A empresa avaliou que ferramentas de IA provavelmente foram usadas no desenvolvimento dos dois códigos.
Orientações para empresas
A Microsoft recomenda que Wi-Fi de hotéis e conferências seja tratado como rede não confiável. Sempre que possível, a orientação é usar conexão celular privada ou conexão gerenciada e não instalar atualizações ou ferramentas oferecidas pelo portal cativo.
Também são recomendadas autenticação resistente a phishing, com MFA e passkeys, a desativação da autenticação por código de dispositivo do Microsoft Entra quando ela não for necessária e a não utilização de credenciais corporativas para registrar acesso em redes Wi‑Fi de convidados.