A Microsoft alertou que redes Wi-Fi de hotéis, salas de conferência e outros estabelecimentos do setor de hospitalidade estão sendo ativamente exploradas por um grupo russo para atingir viajantes do mundo todo. A campanha, denominada “CaptiveCrunch”, transforma um simples login em uma rede Wi-Fi em uma oportunidade para comprometer contas e dispositivos corporativos.
Do ponto de vista do usuário, nada parece fora do comum: ele se conecta ao Wi-Fi do hotel, recebe a solicitação usual do portal cativo e talvez veja uma mensagem familiar sobre a necessidade de atualizar algo antes de poder navegar. No entanto, nos bastidores, o grupo supostamente ligado ao Estado se posiciona no caminho da rede e manipula o tráfego DNS (Sistema de Nomes de Domínio) e HTTP proveniente do Wi-Fi do portal cativo.
A partir daí, várias coisas podem acontecer:
- Os logins são roubados : a sessão do navegador do usuário é redirecionada para páginas de phishing controladas pelo atacante, como solicitações de login falsas da Microsoft, onde credenciais, códigos de dispositivos ou tokens OAuth são coletados.
- O malware é baixado : o usuário se depara com falsas atualizações ou diálogos do ClickFix que, na verdade, baixam malware. Nesses casos, geralmente trata-se de um trojan de acesso remoto (RAT) combinado com um programa de roubo de informações.
- Um ataque do tipo "máquina no meio" (MitM, na sigla em inglês), no qual o tráfego é silenciosamente encaminhado por meio da infraestrutura do atacante, colocando o usuário em uma posição vulnerável ao roubo de credenciais.
Segundo relatos , uma das principais variantes de malware usadas nesses ataques é chamada CornFlake, um cavalo de Troia de Acesso Remoto (RAT) que pode capturar imagens da webcam, áudio do microfone e teclas digitadas.
O programa de roubo de informações foi identificado como ChocoShell, um programa sem arquivos baseado em PowerShell que visa principalmente cookies de sessão do navegador, senhas salvas, tokens de logon único (SSO) do Microsoft 365 e credenciais de Wi-Fi de sistemas comprometidos.
A Microsoft lista um conjunto de diálogos falsos que podem aparecer ao conectar-se a uma rede Wi-Fi comprometida:
- winupdate: Uma atualização falsa Windows Janela de atualização com a mensagem “Atualizações em andamento… Não desligue o computador.”
- defensor: Um falso Windows Verificação de vírus de segurança.
- directx: “Instalador Web do DirectX End‑User Runtime.”
- vcredist: Um instalador do Microsoft Visual C++ redistribuível.
- sysopt: um utilitário de otimização de disco.
- netfix: Um Windows Ferramenta de diagnóstico de rede para "corrigir".
- Navegador: Uma mensagem de atualização do navegador.
- pdfview: Um instalador para visualizar documentos/PDFs.
Como se manter seguro
Malwarebytes Há muito tempo que a ONU alerta para os riscos da segurança do Wi-Fi público. Veja como você pode se manter seguro durante suas viagens:
- Use o ponto de acesso do seu próprio celular em vez de usar o Wi-Fi público. Uma conexão móvel, especialmente com um eSIM e uma operadora confiável, reduz significativamente a probabilidade de um ataque em comparação com uma rede desconhecida de hotel.
- Se você for obrigado a usar Wi-Fi público, use uma VPN com Kill Switch ativo: primeiro, conclua a autenticação no portal do hotel e, em seguida, inicie sua conexão. VPN antes de abrir qualquer site ou aplicativo. O recurso Kill Switch bloqueará instantaneamente todo o tráfego de internet se o VPN desconecta-se mesmo que por um segundo, impedindo que cibercriminosos injetem código malicioso em ambientes abertos. Enquanto isso, o CaptiveCrunch opera em torno de portais cativos e pré-‑ VPN fluxos, um VPN ainda reduz outros riscos e limita a coleta passiva de dados depois que você está online.
- Sempre verifique o certificado de qualquer login de Wi-Fi público ou portal de "segurança" que solicite mais do que o número da sala ou credenciais básicas. Nem sempre esses detalhes são uma pista óbvia, mas às vezes podem indicar algo suspeito: nomes de host incompatíveis, emissores não confiáveis ou HTTP puro são sinais de alerta que devem impedi-lo de prosseguir.
- Muitos portais cativos solicitam um endereço de e-mail para cadastro ou marketing. Mesmo em casos benignos, não há muita vantagem em fornecer seu endereço de e-mail real. Se for imprescindível fornecer um endereço, considere usar um falso ou um pseudônimo descartável que não tenha relação com suas contas principais.
- Se lhe pedirem para baixar um software, um certificado, uma atualização de navegador ou uma ferramenta de correção para se conectar, pare. Você nunca deve precisar baixar nada apenas para se conectar ao Wi-Fi.
- Não se apresse em seguir instruções em uma página da web ou aviso, especialmente se pedirem que você execute comandos em seu dispositivo ou copie e cole código. Desconfie de páginas que incentivam ação imediata: páginas sofisticadas do ClickFix adicionam contagens regressivas, contadores de usuários ou outras táticas de pressão para fazê-lo agir rapidamente.
- Proteja seus dispositivos. Use uma solução antimalware atualizada e em tempo real com um componente de proteção web.
- Evite inserir suas credenciais do Microsoft 365, Google Workspace ou outras informações confidenciais diretamente em qualquer página acessada por meio de redirecionamento de portal cativo. Se precisar verificar e-mails corporativos, siga URLs conhecidos em vez de clicar em avisos.
Por último, mas não menos importante, atualize seu navegador, sistema operacional e outros softwares importantes antes de viajar. Isso reduz a chance de receber solicitações legítimas de atualização enquanto você estiver fora.
Desde a denúncia de ameaças até a sua remoção.
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos fazendo o download Malwarebytes hoje mesmo.
