Microsoft ha avvertito che le reti Wi-Fi di hotel, centri congressi e altre strutture ricettive vengono attivamente sfruttate da un gruppo russo per colpire i viaggiatori di tutto il mondo. La campagna, denominata "CaptiveCrunch", trasforma un normale accesso Wi-Fi in un'opportunità per compromettere account e dispositivi aziendali.
Dal punto di vista dell'utente, nulla sembra fuori dall'ordinario: si connette al Wi-Fi dell'hotel, riceve la solita richiesta di accesso al portale captive e magari vede un messaggio dall'aspetto familiare che indica la necessità di aggiornare qualcosa prima di poter navigare. Tuttavia, dietro le quinte, il gruppo, presumibilmente legato al governo, si posiziona nel percorso di rete e manipola il traffico DNS (Domain Name System) e HTTP proveniente dal Wi-Fi del portale captive.
Da lì, possono accadere diverse cose:
- Le credenziali di accesso vengono rubate : la sessione del browser dell'utente viene reindirizzata a pagine di phishing controllate da malintenzionati, come false richieste di accesso a Microsoft, dove vengono sottratte credenziali, codici dispositivo o token OAuth.
- Viene scaricato il malware : all'utente vengono presentate finestre di dialogo di aggiornamento false o ClickFix che download Malware. In questi casi, di solito si tratta di un trojan di accesso remoto (RAT) associato a un infostealer.
- Un attacco machine-in-the-middle (MitM) in cui il traffico viene silenziosamente instradato attraverso l'infrastruttura dell'attaccante, mettendo l'utente in una posizione tale da poter essere ulteriormente vulnerabile al furto di credenziali.
Secondo quanto riferito , uno dei principali ceppi di malware utilizzati in questi attacchi si chiama CornFlake, un trojan di accesso remoto (RAT) in grado di acquisire immagini dalla webcam, audio dal microfono e sequenze di tasti premuti.
Il programma di furto di informazioni è stato identificato come ChocoShell, un malware senza file basato su PowerShell che prende di mira principalmente i cookie di sessione del browser, le password salvate, i token di Single Sign-On (SSO) di Microsoft 365 e le credenziali Wi-Fi dei sistemi compromessi.
Microsoft elenca una serie di finestre di dialogo fasulle che potrebbero apparire una volta connessi a una rete Wi-Fi compromessa:
- winupdate: Un falso Windows Finestra di aggiornamento con il messaggio "Aggiornamenti in corso... Non spegnere il computer."
- difensore: un falso Windows Scansione antivirus di sicurezza.
- directx: "Programma di installazione Web di DirectX End-User Runtime."
- vcredist: un programma di installazione ridistribuibile di Microsoft Visual C++.
- sysopt: Un'utilità per l'ottimizzazione del disco.
- netfix: A Windows Strumento di "riparazione" per la diagnostica di rete.
- browser: Richiesta di aggiornamento del browser.
- pdfview: Un programma di installazione per la visualizzazione di documenti/PDF.
Come stare al sicuro
Malwarebytes Da tempo mette in guardia sulla sicurezza del Wi-Fi pubblico. Ecco come puoi proteggerti durante i tuoi viaggi:
- Utilizza l'hotspot del tuo telefono anziché la rete Wi-Fi pubblica. Una connessione mobile, soprattutto con una eSIM e un operatore affidabile, riduce significativamente la probabilità di subire un attacco rispetto a una rete Wi-Fi sconosciuta di un hotel.
- Se sei costretto a usare il Wi-Fi pubblico, usa una VPN con un Kill Switch attivo: completa prima l'autenticazione sul portale dell'hotel, poi avvia il tuo VPN prima di aprire qualsiasi sito web o app. La funzione Kill Switch bloccherà immediatamente tutto il traffico Internet se VPN si disconnette anche per un secondo, impedendo ai criminali informatici di iniettare codice dannoso allo scoperto. Mentre CaptiveCrunch opera attorno a portali captive e pre- VPN scorre, un VPN riduce comunque altri rischi e limita la raccolta passiva di dati una volta che sei online.
- Controllate sempre il certificato di qualsiasi accesso Wi-Fi pubblico o portale di "sicurezza" che richieda più del semplice numero di stanza o delle credenziali di base. Non sempre si tratta di un indizio inequivocabile, ma a volte può essere un segnale d'allarme evidente: nomi host non corrispondenti, emittenti non attendibili o il semplice protocollo HTTP sono segnali di allarme che dovrebbero impedirvi di procedere.
- Molti portali captive richiedono un indirizzo email per la registrazione o per finalità di marketing. Anche nei casi più innocui, fornire il proprio indirizzo email reale non ha alcun valore. Se proprio dovete fornire un indirizzo, considerate l'idea di usarne uno falso o un alias temporaneo non collegato ai vostri account principali.
- Se ti viene chiesto di download software, un certificato, un aggiornamento del browser o uno strumento di riparazione per connettersi, smetti. Non dovresti mai doverlo fare download Qualsiasi cosa pur di connettermi al Wi-Fi.
- Non avere fretta di seguire le istruzioni su una pagina web o un prompt, soprattutto se ti viene chiesto di eseguire comandi sul tuo dispositivo o di copiare e incollare del codice. Fai attenzione alle pagine che sollecitano un'azione immediata: le pagine ClickFix più sofisticate aggiungono conto alla rovescia, contatori utenti o altre tattiche di pressione per spingerti ad agire rapidamente.
- Proteggi i tuoi dispositivi. Utilizza una soluzione antimalware aggiornata e in tempo reale con un componente di protezione web.
- Evitate di inserire le credenziali di Microsoft 365, Google Workspace o altre credenziali di alto valore direttamente in qualsiasi pagina raggiunta tramite reindirizzamento a un portale captive. Se dovete controllare la posta aziendale, seguite URL noti anziché cliccare sui link che vengono visualizzati.
Infine, ma non meno importante, aggiornate il browser, il sistema operativo e gli altri software importanti prima di partire. Questo riduce la probabilità di ricevere richieste di aggiornamento legittime mentre siete via.
Dalla segnalazione delle minacce alla loro rimozione.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi scaricando Malwarebytes oggi stesso.
