Uma falsa atualização de navegador veiculada por meio de Wi-Fi de hotel sequestrado foi usada para distribuir CornFlake, um cavalo de troia de acesso remoto (RAT, Remote Access Trojan) capaz de capturar imagens da webcam, áudio do microfone e teclas digitadas, afirmou a Microsoft em seu relatório mais recente.
Pesquisadores rastreiam a operação como CaptiveCrunch e a atribuem ao Storm-2945. A empresa avalia que o Storm-2945 é um subgrupo operacional da Midnight Blizzard, também conhecida como APT29 e Cozy Bear. Os governos dos Estados Unidos e do Reino Unido atribuem o ator mais amplo ao Serviço de Inteligência Estrangeira da Rússia (SVR, na sigla em inglês).
Nas redes comprometidas investigadas pela ReliaQuest, o gateway do portal cativo também atuou como o resolvedor de Sistema de Nomes de Domínio (DNS, Domain Name System) atribuído aos dispositivos conectados. O controle administrativo desse gateway permitiu que os atacantes forjassem respostas de DNS e redirecionassem o tráfego resultante. Eles puderam, então, redirecionar a verificação automática de conectividade de um notebook para uma falsa atualização de navegador ou sistema operacional.
Algumas páginas usam instruções do tipo ClickFix, que orientam as vítimas a abrir um terminal ou outro utilitário do Windows e executar um comando fornecido pelo atacante. O gateway controla para onde o usuário é enviado, mas não infecta o dispositivo de forma silenciosa. A vítima ainda precisa baixar ou executar o código malicioso.
A Microsoft observou a manipulação de tráfego desde o início de maio em redes de hospitalidade em vários países, mas não nomeou nenhum hotel, local ou fornecedor de portal cativo. A ReliaQuest recomenda o uso permanente de uma Rede Privada Virtual (VPN, Virtual Private Network) em modo full-tunnel, que envia as consultas DNS por meio de resolvedores corporativos antes que o gateway do local possa respondê-las.
Pesquisadores orientam os viajantes a utilizar conexões privadas e a rejeitar atualizações de software, certificados, atualizações de navegador, ferramentas de diagnóstico ou utilitários de segurança oferecidos por meio de portais cativos.
Desde 16 de julho, algumas páginas de destino do CaptiveCrunch redirecionaram hóspedes para o fluxo de autenticação por código de dispositivo da Microsoft. Inserir o código fornecido pelo atacante na página legítima de login da Microsoft pode conceder à sessão controlada pelo atacante acesso já satisfeito pela Autenticação Multifator (MFA, Multi-Factor Authentication). A Microsoft recomenda bloquear o fluxo por meio do Acesso Condicional (Conditional Access) onde ele não for necessário.
O CornFlake, um implante baseado em Go, copia a si mesmo para %APPDATA%\svchost32\svchost32.exe e registra o serviço svchost32 com o nome de exibição Cloud Sync Service. Uma janela falsa de progresso mantém a vítima ocupada enquanto isso acontece.
A análise da Microsoft afirma que o implante pode tirar capturas de tela disparadas por inatividade, registrar o conteúdo da área de transferência com o título da janela ativa, roubar cookies e senhas salvas no navegador, incluindo cookies protegidos pela Chrome App-Bound Encryption, examinar mídias removíveis e abrir um shell remoto. Ele também usa uma chave de execução no Registro e uma tarefa agendada, enquanto um watchdog restaura qualquer mecanismo de persistência que os defensores removam.
Os pesquisadores também identificaram o ChocoShell, um stealer (programa ladrão de dados) em PowerShell executado em memória. Ele coleta tokens de acesso e de atualização do Microsoft 365 e do Azure Active Directory, além de tokens do Web Account Manager (WAM), a partir de arquivos .tbres no cache do Token Broker. Os tokens roubados podem permitir a repetição de sessão (replay) sem um cookie de navegador.
Os relatórios documentam o redirecionamento ativo e a distribuição de malware, mas não quantificam seu alcance ou conversão. Sem contagens de execuções bem-sucedidas, aprovações de código de dispositivo ou contas roubadas, o registro público não mostra com que frequência um redirecionamento se transformou em um comprometimento.
A Microsoft encontrou equipamentos e sistemas de gestão comuns entre as redes afetadas, o que, segundo a empresa, pode refletir acesso a serviços compartilhados em partes do ecossistema de portais cativos. Caso isso se confirme, os comprometimentos podem não ter se limitado a locais isolados. A Microsoft não nomeou nenhum fornecedor afetado.
A ReliaQuest documentou os mesmos domínios que se passam pela Microsoft e a infraestrutura sobreposta oito dias antes. A empresa afirmou que a técnica se assemelhava à do APT28, a unidade da GRU (Diretoria Principal de Inteligência da Rússia) também chamada Fancy Bear e Forest Blizzard, mas evitou fazer uma atribuição, pois a avaliação se baseia em sobreposição de Táticas, Técnicas e Procedimentos (TTP) e não em vínculo técnico direto.
A Microsoft reconhece a semelhança com o sequestro de roteadores do Forest Blizzard que ela mesma revelou em abril, ao atribuir o CaptiveCrunch ao Storm-2945.
O Centro Nacional de Segurança Cibernética do Reino Unido e seus parceiros internacionais avaliam que o APT29 muito provavelmente faz parte do Serviço de Inteligência Estrangeira da Rússia. Essa atribuição governamental cobre o grupo APT29 de forma mais ampla. A ligação entre CaptiveCrunch e Storm-2945 continua sendo uma avaliação da Microsoft. Nenhum relatório técnico público independente corroborou essa ligação.
O vetor inicial de comprometimento continua sob investigação. A ReliaQuest avalia, com confiança baixa a média, que uma combinação de interfaces de gestão expostas e credenciais fracas ou reutilizadas pode ter fornecido o acesso, mas afirmou que limitações de visibilidade impediram a confirmação.
