A Microsoft alertou que as redes Wi-Fi de hotéis, salas de conferências e outros estabelecimentos do setor da hotelaria estão a ser ativamente exploradas por um grupo russo para chegar aos viajantes de todo o mundo. A campanha, denominada “CaptiveCrunch”, transforma um simples login numa rede Wi-Fi numa oportunidade para comprometer contas e dispositivos empresariais.
Do ponto de vista do utilizador, nada parece fora do comum: liga-se ao Wi-Fi do hotel, recebe o pedido habitual do portal cativo e talvez veja uma mensagem familiar sobre a necessidade de atualizar algo antes de poder navegar. No entanto, nos bastidores, o grupo supostamente ligado ao Estado posiciona-se no caminho da rede e manipula o tráfego DNS (Sistema de Nomes de Domínio) e HTTP proveniente do Wi-Fi do portal cativo.
A partir daí, podem acontecer várias coisas:
- Os logins são roubados : a sessão do browser do utilizador é redirecionada para páginas de phishing controladas pelo atacante, como pedidos de login falsos da Microsoft, onde são recolhidas credenciais, códigos de dispositivos ou tokens OAuth.
- O malware é descarregado : o utilizador depara-se com falsas atualizações ou diálogos do ClickFix que, na verdade, descarregam malware. Nestes casos, trata-se normalmente de um trojan de acesso remoto (RAT) combinado com um programa de roubo de informação.
- Um ataque do tipo "máquina no meio" (MitM, na sigla em inglês), em que o tráfego é silenciosamente encaminhado através da infraestrutura do atacante, colocando o utilizador numa posição vulnerável ao roubo de credenciais.
Segundo consta , uma das principais variantes de malware utilizadas nestes ataques chama-se CornFlake, um cavalo de Troia de Acesso Remoto (RAT) que consegue captar imagens da webcam, áudio do microfone e teclas digitadas.
O programa de roubo de informação foi identificado como ChocoShell, um programa sem ficheiros baseado em PowerShell que visa principalmente cookies de sessão do navegador, palavras-passe guardadas, tokens de logon único (SSO) do Microsoft 365 e credenciais Wi-Fi de sistemas comprometidos.
A Microsoft lista um conjunto de diálogos falsos que podem aparecer quando se liga a uma rede Wi-Fi comprometida:
- winupdate: Uma atualização falsa Windows Janela de atualização com a mensagem “Atualizações em curso… Não desligue o computador.”
- defensor: Um falso Windows Verificação de vírus de segurança.
- directx: “Instalador Web do DirectX End‑User Runtime.”
- vcredist: Um instalador do Microsoft Visual C++ redistribuível.
- sysopt: um utilitário de optimização de disco.
- netfix: Um Windows Ferramenta de diagnóstico de rede para "corrigir".
- Navegador: Uma mensagem de atualização do navegador.
- pdfview: Um instalador para visualizar documentos/PDFs.
Como se manter seguro
Malwarebytes Há muito que a ONU alerta para os riscos da segurança do Wi-Fi público. Veja como pode manter-se seguro durante as suas viagens:
- Utilize o ponto de acesso do seu próprio telemóvel em vez de utilizar o Wi-Fi público. Uma ligação móvel, especialmente com um eSIM e um operador fiável, reduz significativamente a probabilidade de um ataque em comparação com uma rede de hotel desconhecida.
- Se for obrigado a utilizar Wi-Fi público, utilize uma VPN com Kill Switch ativo: primeiro, complete a autenticação no portal do hotel e, em seguida, inicie a sua ligação. VPN antes de abrir qualquer site ou aplicação. A funcionalidade Kill Switch bloqueará instantaneamente todo o tráfego de internet se o VPN desconecta-se mesmo que por um segundo, impedindo que os cibercriminosos injetem código malicioso em ambientes abertos. Enquanto isso, o CaptiveCrunch opera em torno de portais cativos e pré-‑ VPN fluxos, um VPN ainda reduz outros riscos e limita a recolha passiva de dados depois de estar online.
- Verifique sempre o certificado de qualquer login Wi-Fi público ou portal de "segurança" que solicite mais do que o número da sala ou as credenciais básicas. Nem sempre estes detalhes são uma pista óbvia, mas por vezes podem indicar algo suspeito: nomes de host incompatíveis, emissores não fidedignos ou HTTP puro são sinais de alerta que devem impedi-lo de prosseguir.
- Muitos portais cativos solicitam um endereço de e-mail para registo ou marketing. Mesmo em casos benignos, não há grande vantagem em fornecer o seu endereço de e-mail real. Se for imprescindível fornecer um endereço, considere utilizar um falso ou um pseudónimo descartável que não esteja relacionado com as suas contas principais.
- Se lhe pedirem para descarregar um software, um certificado, uma atualização do browser ou uma ferramenta de correção para se ligar, pare. Nunca deve precisar de descarregar nada apenas para se ligar ao Wi-Fi.
- Não tenha pressa em seguir instruções numa página web ou aviso, especialmente se lhe pedirem para executar comandos no seu dispositivo ou copiar e colar código. Desconfie de páginas que incentivam a ação imediata: páginas sofisticadas do ClickFix adicionam contagens decrescentes, contadores de utilizadores ou outras táticas de pressão para o fazer agir rapidamente.
- Proteja os seus dispositivos. Utilize uma solução antimalware atualizada e em tempo real com um componente de proteção web.
- Evite introduzir as suas credenciais do Microsoft 365, Google Workspace ou outras informações confidenciais diretamente em qualquer página acedida através de redirecionamento de portal cativo. Se precisar de verificar os e-mails corporativos, siga URLs conhecidos em vez de clicar em avisos.
Por último, mas não menos importante, atualize o seu navegador, sistema operativo e outros softwares importantes antes de viajar. Isto reduz a hipótese de receber pedidos legítimos de atualização enquanto estiver fora.
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos descarregando Malwarebytes hoje mesmo.
