Hackers apoiados pelo Estado russo estão usando redes WiFi comprometidas de hotéis e conferências para espionar viajantes a negócios, segundo uma nova pesquisa da Microsoft , que diz que a campanha foi projetada para roubar credenciais corporativas e estabelecer acesso de longo prazo a ambientes governamentais e empresariais.
Em vez de atacar organizações diretamente, os agentes ameaçadores estão mirando os funcionários enquanto viajam, aproveitando redes públicas sem fio das quais muitos profissionais dependem durante viagens de negócios. A Microsoft atribui a atividade ao Storm-2945, um subgrupo associado à operação de espionagem russa Midnight Blizzard, também conhecida como NOBELIUM ou Cozy Bear.
A campanha, que a Microsoft chama de CaptiveCrunch, está ativa pelo menos desde maio. Investigadores dizem que os atacantes comprometem sistemas legítimos de portais cativos, as páginas web comumente usadas por hotéis, centros de conferências e outros locais para autenticar hóspedes antes de conceder acesso à internet.
Uma vez que a vítima se conecta à rede, os atacantes a redirecionam para convencer páginas de login da Microsoft ou exibem prompts fraudulentos incentivando-os a instalar atualizações do Windows ou do navegador. Em vez de softwares legítimos, esses downloads instalam malware que dá aos atacantes acesso de longo prazo ao dispositivo infectado.
A Microsoft afirma que a campanha tem como alvo principalmente organizações nos Estados Unidos e na Europa, com governos, organizações diplomáticas, organizações não governamentais e provedores de serviços de TI como principais alvos. Ao comprometer os funcionários enquanto eles estão viajando, os atacantes podem obter credenciais e monitorar atividades antes de tentar avançar mais profundamente em ambientes corporativos.
O software malicioso observado na campanha inclui o CornFlake, um trojan de acesso remoto, e o ChocoShell, um roubo de informações baseado em PowerShell. De acordo com a análise da Microsoft, o malware é capaz de coletar credenciais do Microsoft 365, cookies de sessão, senhas salvas e arquivos, mantendo acesso persistente a sistemas comprometidos. Pesquisadores também observaram capacidades que permitem ao malware registrar pressionamentos de tecla e, em alguns casos, acessar microfones e câmeras. A Microsoft disse que um número limitado de dispositivos Android também foi alvo durante a operação.
Especialistas em segurança acreditam que a campanha demonstra uma mudança mais ampla nas táticas de espionagem cibernética. Em vez de focar exclusivamente na infraestrutura corporativa, os atacantes estão cada vez mais mirando em ambientes onde os funcionários se conectam fora do escritório e podem ser menos cautelosos.
Michael Centrella, chefe de políticas públicas da SecurityScorecard, disse que redes de hospitalidade comprometidas podem se tornar plataformas de vigilância eficazes porque viajantes frequentemente assumem que os serviços de internet dos hotéis são confiáveis. Ele observou que atacantes podem interceptar comunicações silenciosamente, coletar credenciais e manter acesso de longo prazo sem acionar imediatamente alertas dentro da organização da vítima. Centrella acrescentou que redes WiFi públicas em aeroportos, universidades e unidades de saúde podem apresentar riscos semelhantes se seus portais cativos fossem comprometidos.
A Microsoft recomenda evitar atualizações de software oferecidas por meio de páginas públicas de login WiFi ou pop-ups inesperados do navegador, instalando atualizações apenas por meio de mecanismos de sistema operacional confiáveis. A empresa também aconselha os usuários a verificarem a autenticidade dos portais de login WiFi antes de inserir credenciais e, sempre que possível, a utilizarem hotspots gerenciados pela empresa ou conexões móveis confiáveis em vez de redes sem fio públicas.
Para organizações, a Microsoft recomenda tratar as viagens de negócios como uma atividade de maior risco, exigindo autenticação multifator resistente a phishing, aplicando o uso de VPN em redes não confiáveis, monitorando atividades suspeitas de contas e limitando o acesso privilegiado para funcionários durante as viagens. A empresa afirma que essas medidas podem ajudar a reduzir o risco de roubo de credenciais e comprometimento de longo prazo caso os atacantes mirem em funcionários fora da rede corporativa.