Hackers usam Wi-Fi de hotéis para instalar malware para espionar hospedes

Pesquisadores da Microsoft identificaram uma campanha que compromete redes Wi-Fi de hotéis para distribuir falsas atualizações de navegador e sistema operacional, utilizadas para instalar o malware CornFlake. O código malicioso é capaz de capturar imagens da webcam, gravar áudio do microfone, registrar teclas digitadas e roubar credenciais.

A operação foi batizada de CaptiveCrunch e é atribuída pela Microsoft ao grupo Storm-2945, considerado um subgrupo operacional do Midnight Blizzard, também conhecido como APT29 ou Cozy Bear. Os governos dos Estados Unidos e do Reino Unido atribuem o APT29 ao Serviço de Inteligência Estrangeira da Rússia (SVR). A ligação entre o CaptiveCrunch e o Storm-2945, no entanto, é uma avaliação da Microsoft e ainda não foi corroborada de forma independente.

Segundo a investigação, os invasores obtiveram controle do gateway responsável pelo portal cativo de redes Wi-Fi em hotéis. Nos ambientes analisados pela ReliaQuest, esse equipamento também funcionava como servidor DNS dos dispositivos conectados.

Com acesso administrativo ao gateway, os criminosos conseguiam falsificar respostas DNS e redirecionar verificações automáticas de conectividade realizadas pelos sistemas operacionais para páginas falsas que simulavam atualizações de navegadores ou do próprio sistema.

Em alguns casos, as páginas utilizavam a técnica conhecida como ClickFix, na qual a vítima é instruída a abrir o Prompt de Comando, PowerShell ou outro utilitário do Windows e executar comandos fornecidos pelos invasores. A infecção não ocorre automaticamente: o usuário ainda precisa baixar ou executar o conteúdo malicioso.

A Microsoft afirma observar esse tipo de manipulação de tráfego desde o início de maio em redes de hospitalidade localizadas em diversos países, mas não revelou quais hotéis, fornecedores de portais cativos ou estabelecimentos foram afetados.

Desde 16 de julho, parte da campanha passou a redirecionar usuários para o fluxo legítimo de autenticação por código de dispositivo da Microsoft. Ao inserir um código fornecido pelos invasores na página oficial de login, a vítima pode conceder acesso à sessão controlada pelos criminosos, inclusive com autenticação multifator (MFA) já validada.

A Microsoft recomenda bloquear esse método de autenticação por meio das políticas de Acesso Condicional sempre que ele não for necessário.

Após a instalação, o CornFlake copia a si próprio para o diretório %APPDATA%\svchost32\svchost32.exe, registra um serviço chamado Cloud Sync Service e exibe uma falsa janela de progresso para distrair a vítima durante a infecção.

Segundo a análise da Microsoft, o malware pode capturar capturas de tela quando o computador está ocioso, registrar o conteúdo da área de transferência juntamente com o título da janela ativa, roubar cookies e senhas salvas em navegadores — incluindo cookies protegidos pelo Chrome App-Bound Encryption —, analisar dispositivos removíveis e abrir um shell remoto para controle do sistema.

O malware também cria mecanismos de persistência por meio de uma chave Run no Registro do Windows e de uma tarefa agendada. Um componente adicional monitora esses mecanismos e os recria automaticamente caso sejam removidos por ferramentas de segurança.

Os pesquisadores também identificaram outro malware utilizado na campanha, chamado ChocoShell, um ladrão de credenciais baseado em PowerShell executado apenas em memória. Ele coleta tokens de acesso e atualização do Microsoft 365 e do Azure Active Directory, além de tokens do Windows Web Account Manager (WAM), armazenados no cache do Token Broker.

Esses tokens podem permitir o reaproveitamento de sessões autenticadas sem depender dos cookies do navegador, ampliando o potencial de comprometimento das contas corporativas.

Embora os relatórios confirmem o redirecionamento de tráfego e a distribuição de malware, não há informações públicas sobre quantos usuários foram efetivamente comprometidos. Também não foram divulgados números de dispositivos infectados, aprovações do fluxo de código de dispositivo ou contas comprometidas.

A Microsoft observou que diferentes redes afetadas utilizavam equipamentos e sistemas de gerenciamento semelhantes, o que pode indicar comprometimento de serviços compartilhados no ecossistema de portais cativos, em vez de incidentes isolados em hotéis específicos.

A ReliaQuest havia documentado infraestrutura semelhante oito dias antes da divulgação da Microsoft e apontou semelhanças nas técnicas empregadas com o grupo APT28 (Fancy Bear/Forest Blizzard). No entanto, a empresa evitou atribuir a campanha ao grupo russo por considerar que as evidências disponíveis se baseiam apenas na sobreposição de táticas, técnicas e procedimentos.

O vetor inicial utilizado para comprometer os equipamentos continua sob investigação. A ReliaQuest avalia, com baixa a média confiança, que interfaces administrativas expostas na internet e credenciais fracas ou reutilizadas podem ter permitido o acesso inicial aos dispositivos.

Para reduzir os riscos, pesquisadores recomendam que viajantes utilizem conexões privadas sempre que possível e mantenham uma VPN configurada para encaminhar todo o tráfego, incluindo consultas DNS, por servidores confiáveis. Também orientam a recusar atualizações de software, certificados, ferramentas de diagnóstico ou utilitários de segurança oferecidos por portais de autenticação de redes Wi-Fi públicas.