e reti Wi-Fi degli hotel sono diventate il terreno di caccia preferito di un gruppo di hacker russi, che sfrutta un malware personalizzato per mettere le mani sugli account Microsoft 365 di chi si collega dalle camere o dalle sale conferenze. A collegare questa campagna globale al gruppo noto come Midnight Blizzard, alias APT29, è stata proprio Microsoft, che ha ricostruito nel dettaglio come funziona l’inganno.
L’attività era già emersa in precedenza grazie a un’analisi che descriveva come gli aggressori modificassero le impostazioni DNS sui dispositivi Wi-Fi per rubare le credenziali. Microsoft ha fatto un passo in più, attribuendo la campagna a un gruppo tracciato come Storm-2945, considerato una diramazione di Midnight Blizzard, e individuando due famiglie di malware battezzate CornFlake e ChocoShell. La campagna ha un nome in codice, CaptiveCrunch, e secondo Microsoft è attiva almeno dall’inizio di maggio, anche se le operazioni di phishing legate ai codici di dispositivo e OAuth andavano avanti già da febbraio.
Come funziona la trappola nascosta nel Wi-Fi
Il meccanismo parte dalla manipolazione del traffico DNS e HTTP sulle reti gestite tramite i cosiddetti captive portal, quelle pagine che compaiono quando ci si connette al Wi-Fi di hotel e centri congressi. Intercettando le connessioni, gli aggressori riescono a dirottare le vittime verso pagine di login fasulle che imitano i portali Microsoft 365, oppure verso pagine che sfruttano i flussi di autenticazione di Microsoft Entra ID. Un dettaglio interessante è che né Microsoft né chi aveva analizzato la campagna in precedenza sono riusciti a capire con esattezza quale sia il punto di ingresso iniziale, anche se i segnali indicano infrastrutture condivise piuttosto che singoli dispositivi isolati.
C’è poi una terza strada, non emersa prima. Riguarda finte pagine di aggiornamento del browser o del sistema operativo che distribuiscono il malware su Windows tramite i prompt ClickFix, quelli che chiedono all’utente una verifica apparentemente innocua. In alcuni casi le stesse pagine puntavano anche ai dispositivi Android, con un file APK pronto a essere installato.
Cosa fanno davvero CornFlake e ChocoShell
CornFlake è un trojan ad accesso remoto scritto in Go, e la lista delle sue capacità è lunga. Va dallo shell remoto al keylogging, dal monitoraggio degli appunti alla cattura di screenshot, fino alla sorveglianza tramite microfono e webcam. Ruba credenziali e cookie dai browser, sottrae i token di sessione di Microsoft 365, esfiltra file e tiene d’occhio le porte USB. Quando viene eseguito, mostra una finta finestra di avanzamento per distrarre l’utente mentre si copia nella cartella AppData per garantirsi la persistenza. Quella finestra può travestirsi da aggiornamento di Windows, da scansione antivirus di Defender, da strumento di ottimizzazione del disco e altro ancora. Il malware si maschera come “Cloud Sync Service” per sembrare un componente legittimo e usa più meccanismi per restare agganciato al sistema, compreso un modulo di sorveglianza che ripristina la persistenza se qualcosa viene rimosso.
ChocoShell, invece, è un ladro di credenziali basato su PowerShell che lavora in memoria e punta a cookie dei browser, password salvate, token di Microsoft 365 e Azure AD, oltre alle credenziali Wi-Fi. Osservando i numerosi commenti presenti nel codice, Microsoft ritiene probabile che entrambi i malware siano stati sviluppati con l’aiuto di strumenti di intelligenza artificiale. È stato scovato anche un pannello di gestione web non protetto, chiamato FruitStone, usato dagli attaccanti per controllare i sistemi infetti, sfogliare i file delle vittime, lanciare comandi PowerShell e catturare schermate e battiture.
Il consiglio di Microsoft è chiaro, ovvero trattare il Wi-Fi di hotel e conferenze come non affidabile, preferire connessioni private o gestite quando possibile ed evitare aggiornamenti software proposti attraverso i captive portal. Meglio inoltre adottare un’autenticazione resistente al phishing con MFA e passkey, disattivare l’autenticazione tramite codice dispositivo di Microsoft Entra quando non serve ed evitare di usare le credenziali aziendali per registrarsi alle reti Wi-Fi degli ospiti.
