Uma campanha de cibercrime à escala global está a visar redes sem fios de hotéis e centros de conferências com o objetivo de roubar credenciais de acesso corporativas. Segundo dados revelados pela Microsoft, o ataque é conduzido pelo grupo estatal russo Midnight Blizzard (também identificado como Storm-2945 ou APT29), que altera as configurações de DNS nos equipamentos de portais de captura para intercetar as ligações dos hóspedes.
A operação, batizada pela equipa de segurança da Microsoft como CaptiveCrunch, tem estado ativa pelo menos desde o início de maio. Os atacantes exploram falhas na infraestrutura partilhada dos estabelecimentos para redirecionar as vítimas para páginas falsas de autenticação do Microsoft 365 ou para esquemas que exploram os fluxos de validação do Microsoft Entra ID.
Novo malware desenvolvido com auxílio de inteligência artificial
Além da manipulação direta de tráfego, os investigadores identificaram um vetor que utiliza páginas falsas de atualização do sistema operativo e do navegador. Estas páginas apresentam avisos do tipo ClickFix para induzir os utilizadores a descarregar ficheiros maliciosos em sistemas Windows e dispositivos Android.
A análise técnica revelou a presença de duas novas famílias de malware. A primeira, apelidada de CornFlake, é um troiano de acesso remoto desenvolvido em Go. Este programa consegue monitorizar o teclado, capturar a área de transferência, registar imagens do ecrã e extrair tokens de sessão do Microsoft 365, ocultando a sua presença sob o nome "Cloud Sync Service". A segunda ameaça é o ChocoShell, um utilitário em PowerShell projetado para roubar palavras-passe guardadas, credenciais de redes Wi-Fi e dados de autenticação em memória. Com base em comentários extensos encontrados no código, os peritos indicam que ferramentas de inteligência artificial foram usadas no desenvolvimento destas ameaças.
Recomendações vitais para quem viaja em trabalho
Para gerir os sistemas infetados e recolher ficheiros exfiltrados, o grupo utilizava um painel de controlo web desprotegido chamado FruitStone. Perante o alcance deste ataque, a utilização de redes Wi-Fi públicas em viagens de negócios representa um risco elevado para a segurança da informação empresarial.
Para evitar o comprometimento de dados sensíveis, a recomendação passa por tratar qualquer ligação de hotel como não confiável, privilegiando o uso de dados móveis ou ligações privadas geridas. Os utilizadores devem recusar atualizações de software propostas por portais de captura, implementar autenticação multifator resistente a phishing com chaves de acesso e evitar o registo em redes de hóspedes com credenciais corporativas.
Nenhum comentário
Seja o primeiro!