Conectar-se ao Wi-Fi de um hotel é um hábito comum para profissionais em viagens de negócios. No entanto, uma nova campanha de ciberespionagem mostra que esse momento pode representar uma oportunidade valiosa para criminosos altamente especializados. Batizada de CaptiveCrunch, a operação foi atribuída ao grupo Midnight Blizzard, conhecido por realizar ataques sofisticados contra governos, empresas e organizações estratégicas em todo o mundo.
Em vez de depender exclusivamente de campanhas tradicionais de phishing por e-mail, os invasores passaram a explorar a infraestrutura de redes sem fio de hotéis e centros de convenções. Ao manipular o funcionamento dos portais cativos, as páginas exibidas antes da liberação do acesso à internet, eles conseguem redirecionar vítimas para conteúdos maliciosos, roubar credenciais do Microsoft 365 e instalar novas famílias de malware capazes de manter acesso persistente aos dispositivos comprometidos.
A descoberta reforça um alerta importante: redes Wi-Fi públicas não devem ser consideradas ambientes confiáveis, independentemente da reputação do estabelecimento. Neste artigo, você entenderá como funciona a campanha CaptiveCrunch, quais técnicas foram utilizadas pelo Midnight Blizzard, o papel dos malwares CornFlake e ChocoShell e quais medidas podem reduzir os riscos durante viagens corporativas.
Como funciona a campanha CaptiveCrunch em redes Wi-Fi de hotéis
A campanha CaptiveCrunch tem como objetivo explorar um momento em que o usuário normalmente está menos desconfiado: a conexão inicial ao Wi-Fi de hotéis, aeroportos, centros de convenções e outros locais que utilizam portais cativos para autenticação.
Segundo as análises divulgadas pelos pesquisadores, os invasores conseguem comprometer a infraestrutura responsável pelo serviço de autenticação da rede ou manipular configurações de DNS, fazendo com que determinadas requisições sejam direcionadas para servidores controlados pelos próprios criminosos.
Na prática, o usuário acredita estar acessando uma página legítima do hotel, mas passa a interagir com conteúdos preparados pelos atacantes. Como o ambiente é visualmente semelhante ao original, a fraude torna-se muito mais convincente do que um ataque convencional por e-mail.
Esse método também dificulta a identificação da ameaça, já que a vítima espera visualizar páginas de autenticação antes de conseguir utilizar a internet.
Interceptação de tráfego e engenharia social com ClickFix
Após controlar o fluxo de navegação da vítima, os operadores da campanha utilizam uma técnica conhecida como ClickFix.
Essa abordagem não depende apenas do roubo direto de credenciais. Em vez disso, o usuário recebe mensagens simulando problemas de conexão, falhas de autenticação ou supostos erros do sistema operacional.
As instruções orientam a copiar comandos para o Prompt de Comando ou para o PowerShell, alegando que essa ação corrigirá o acesso à rede.
Na realidade, esses comandos iniciam o download dos componentes maliciosos da campanha.
Em outros cenários, o redirecionamento leva a páginas falsas de autenticação do Microsoft 365, desenvolvidas para capturar usuários, senhas e, em alguns casos, tokens de autenticação, ampliando as possibilidades de comprometimento da conta corporativa.
O uso do ClickFix demonstra uma evolução nas técnicas de engenharia social. Em vez de explorar apenas a curiosidade da vítima, os criminosos utilizam situações aparentemente legítimas para induzir a execução voluntária de comandos maliciosos.
Tentativas de comprometer dispositivos Android
Os pesquisadores também observaram tentativas de ampliar o ataque para dispositivos móveis.
Durante a conexão ao Wi-Fi, algumas vítimas recebem instruções para instalar um aplicativo que supostamente permitiria concluir o processo de autenticação da rede.
O software é distribuído como um arquivo APK, fora das lojas oficiais de aplicativos.
Para que a instalação ocorra, o usuário precisa desativar mecanismos de proteção do Android e permitir aplicativos provenientes de fontes desconhecidas.
Embora essa etapa exija uma ação adicional da vítima, ela evidencia que os operadores da campanha buscam expandir seu alcance para além dos computadores utilizados em ambientes corporativos.
CornFlake e ChocoShell elevam o nível da ameaça
A campanha CaptiveCrunch introduz duas novas famílias de malware que trabalham de forma complementar.
Enquanto uma delas fornece acesso remoto completo ao equipamento comprometido, a outra concentra-se na coleta de credenciais e informações sensíveis utilizando recursos nativos do Windows.
Essa arquitetura modular oferece maior flexibilidade aos operadores e facilita a adaptação da campanha conforme o perfil da vítima.
CornFlake: um RAT moderno desenvolvido em Go
O CornFlake é um Remote Access Trojan (RAT) desenvolvido na linguagem Go, tecnologia que vem sendo adotada por diversos grupos de ameaças devido à facilidade de distribuição entre diferentes plataformas.
Depois de instalado, o malware oferece aos invasores amplo controle sobre o equipamento comprometido.
Entre suas capacidades conhecidas estão:
- Captura de pressionamentos de teclado (keylogging).
- Captura de telas.
- Monitoramento da webcam.
- Execução remota de comandos.
- Roubo de tokens de autenticação do Microsoft 365.
- Coleta de informações do sistema.
- Persistência após reinicializações.
Outro recurso interessante é a exibição de falsas telas de atualização do Windows, utilizadas para distrair o usuário enquanto o malware executa atividades em segundo plano.
Além disso, o CornFlake emprega técnicas de ofuscação, comunicação criptografada com servidores de comando e controle (C2) e mecanismos que dificultam análises forenses.
ChocoShell amplia o roubo de credenciais
O segundo componente identificado pelos pesquisadores é o ChocoShell, um conjunto de scripts em PowerShell voltado principalmente à coleta de informações armazenadas na memória do sistema.
Seu foco é capturar:
- Credenciais em memória.
- Tokens de autenticação.
- Informações de sessão.
- Dados utilizados pelo Microsoft 365.
Como utiliza ferramentas presentes no próprio Windows, o ChocoShell reduz a necessidade de instalar arquivos adicionais, tornando parte da atividade menos perceptível para soluções tradicionais de segurança.
Os pesquisadores também destacaram que determinados trechos do código apresentam características compatíveis com o uso de ferramentas de inteligência artificial durante o desenvolvimento. Embora essa hipótese ainda esteja em análise, ela acompanha uma tendência observada em campanhas recentes envolvendo grupos avançados de ameaças.
Outro elemento citado nas investigações é o painel FruitStone, utilizado para administrar vítimas comprometidas, distribuir cargas maliciosas e controlar a infraestrutura da campanha.
Por que o Microsoft 365 é um dos principais alvos
O interesse pelo Microsoft 365 não é casual.
A plataforma concentra e-mails corporativos, documentos estratégicos, calendários, reuniões, arquivos armazenados na nuvem e integrações com inúmeros serviços empresariais.
Quando uma única conta é comprometida, os criminosos podem obter acesso a informações extremamente valiosas, realizar movimentação lateral dentro da organização e ampliar o alcance da invasão.
Mesmo empresas que utilizam autenticação multifator (MFA) podem enfrentar riscos caso os invasores consigam roubar tokens válidos de sessão, reduzindo parte da proteção oferecida pelos métodos tradicionais de autenticação.
Como reduzir os riscos ao utilizar redes Wi-Fi públicas
A campanha CaptiveCrunch reforça uma recomendação conhecida entre especialistas: qualquer Wi-Fi público deve ser tratado como uma rede potencialmente hostil.
Algumas boas práticas ajudam a reduzir significativamente os riscos:
- Utilize uma VPN confiável ao acessar sistemas corporativos.
- Sempre que possível, prefira conexões 4G ou 5G para atividades sensíveis.
- Nunca copie comandos para o Prompt de Comando ou PowerShell seguindo instruções exibidas em páginas de autenticação.
- Não instale aplicativos distribuídos durante o processo de conexão ao Wi-Fi.
- Utilize Passkeys ou chaves físicas compatíveis com FIDO2 para fortalecer a autenticação.
- Revise regularmente as sessões ativas da sua conta do Microsoft 365.
- Mantenha sistemas operacionais, navegadores e soluções de segurança sempre atualizados.
- Oriente colaboradores que viajam frequentemente sobre técnicas modernas de engenharia social, como o ClickFix.
Além das medidas voltadas aos usuários finais, as organizações devem monitorar tentativas incomuns de autenticação, revisar políticas do Microsoft Entra ID e adotar mecanismos capazes de detectar o roubo de tokens e outras atividades suspeitas.
A segurança começa antes mesmo do login
A campanha CaptiveCrunch demonstra que grupos avançados como o Midnight Blizzard continuam inovando para comprometer ambientes corporativos. Ao explorar a infraestrutura de Wi-Fi de hotéis, os criminosos transformam um procedimento rotineiro em uma porta de entrada para ataques de espionagem digital.
Mais do que reforçar a importância da autenticação multifator e das soluções de proteção de endpoint, o caso evidencia que a conscientização dos usuários continua sendo um dos pilares da segurança da informação. Em um cenário em que páginas de login falsas podem surgir antes mesmo do acesso à internet, desconfiar de comportamentos incomuns e adotar práticas seguras durante viagens pode fazer toda a diferença.
