Midnight Blizzard dirotta il Wi-Fi degli hotel per colpire i viaggiatori

🛡️ Executive Summary

• Storm-2945 manipola DNS e traffico HTTP delle reti Wi-Fi servite da captive portal in hotel, centri congressi e spazi condivisi.
• La campagna distribuisce i malware CornFlake e ChocoShell, ruba password, cookie, token Microsoft 365 e controlla webcam e microfono.
• Microsoft raccomanda connessioni mobili private, blocco del device code flow, MFA resistente al phishing e divieto di aggiornamenti proposti dai captive portal.

Midnight Blizzard, gruppo di spionaggio attribuito dai governi statunitense e britannico al servizio di intelligence estero russo SVR, ha trasformato le reti Wi-Fi di hotel, centri congressi e altri luoghi frequentati dai viaggiatori in un vettore per distribuire malware e rubare credenziali aziendali. La campagna, denominata CaptiveCrunch, manipola il traffico DNS e HTTP gestito dai captive portal per mostrare falsi aggiornamenti di Windows e dei browser, pagine ClickFix e richieste di autenticazione Microsoft. Secondo Microsoft Threat Intelligence, le operazioni sono condotte da Storm-2945, un sottogruppo operativo di Midnight Blizzard attivo almeno da febbraio 2026 e collegato ad attacchi contro account Microsoft 365, diplomatici, governi e fornitori tecnologici.

CaptiveCrunch controlla il traffico delle reti Wi-Fi condivise

Microsoft osserva da maggio 2026 compromissioni diffuse di reti utilizzate da strutture ricettive e organizzazioni che offrono accesso Wi-Fi attraverso captive portal, le pagine che chiedono all’utente di accettare condizioni, inserire il numero della camera o autenticarsi prima di navigare. Storm-2945 altera le risposte DNS e il traffico HTTP per collocarsi in posizione adversary-in-the-middle, intercettando i controlli automatici con cui browser e sistemi operativi verificano la disponibilità della connessione. La vittima viene quindi reindirizzata verso infrastrutture controllate dagli attaccanti, dove compaiono falsi aggiornamenti del browser, strumenti di riparazione dei driver, verifiche Google non riuscite o procedure manuali che invitano a copiare ed eseguire comandi nel terminale.

L’analisi tecnica di Microsoft sulla campagna CaptiveCrunch segnala compromissioni in più Paesi e rileva caratteristiche comuni nelle apparecchiature e nei sistemi di gestione presenti nelle reti coinvolte. Questo elemento suggerisce che l’operazione potrebbe non dipendere soltanto dall’intrusione separata nei singoli hotel, ma dall’accesso a servizi condivisi all’interno dell’ecosistema dei captive portal. Le nuove evidenze ampliano quanto già emerso con il dirottamento del DNS degli hotel usato per rubare account Microsoft 365: l’obiettivo non è colpire indiscriminatamente gli ospiti, ma intercettare viaggiatori aziendali, diplomatici e professionisti che accedono a risorse sensibili da reti considerate temporaneamente necessarie.

CornFlake trasforma il falso aggiornamento in sorveglianza completa

Il principale impianto persistente distribuito dalla campagna è CornFlake, un RAT per Windows scritto in Go e dotato di funzioni di controllo remoto, raccolta dei dati e sorveglianza audiovisiva. Quando viene eseguito, il malware mostra una finestra credibile che simula Windows Update, Microsoft Defender, DirectX, Visual C++, un controllo del disco o l’aggiornamento del browser, mentre copia il proprio eseguibile nella cartella %APPDATA%\svchost32\svchost32.exe. CornFlake registra quindi un servizio denominato Cloud Sync Service, crea chiavi Run nel registro e attività pianificate, affiancandole con un watchdog che ripristina automaticamente i meccanismi di persistenza rimossi dai difensori.

Il RAT registra le battute della tastiera, controlla gli appunti, cattura screenshot, attiva microfono e webcam, analizza i supporti USB, cerca documenti e chiavi crittografiche e mette a disposizione una shell remota basata su cmd.exe o PowerShell. Il modulo dedicato ai browser utilizza componenti derivati da ChromeKatz per estrarre cookie e password anche da installazioni Chromium protette con App-Bound Encryption, mentre per Firefox sfrutta i database e i meccanismi NSS. Le comunicazioni con il server di comando utilizzano uno scambio ECDH P-256, una chiave di sessione derivata con SHA-256 e un protocollo JSON cifrato, rendendo difficile ricostruire retroattivamente il traffico senza possedere la chiave effimera della singola sessione. La consegna attraverso falsi aggiornamenti e istruzioni manuali riprende il modello ClickFix, già utilizzato in campagne capaci di nascondere il payload in infrastrutture web legittime, ma lo sposta dentro una rete Wi-Fi compromessa, aumentando la credibilità dell’avviso mostrato subito dopo la connessione.

ChocoShell ruba token e sessioni Microsoft 365

Accanto a CornFlake opera ChocoShell, un infostealer PowerShell eseguito interamente in memoria e progettato per sottrarre cookie dei browser, password salvate, credenziali Wi-Fi e token di accesso Microsoft 365. Il malware disabilita AMSI attraverso reflection .NET, esegue controlli temporali per individuare sandbox e utilizza percorsi HTTPS che imitano pixel di tracciamento e file JavaScript legittimi. Per ottenere privilegi elevati dispone di tre tecniche di bypass UAC basate su SilentCleanup, wsreset.exe e sdclt.exe, con una richiesta visibile di elevazione come ultima possibilità. Una volta ottenuto l’accesso amministrativo, ChocoShell impersona processi SYSTEM, crea copie shadow con VSS e recupera le chiavi necessarie a decifrare i dati dei browser Chromium. Il malware può inoltre avviare Chrome, Edge e Brave con una porta di debugging remoto e interrogare il Chrome DevTools Protocol, lasciando che sia il browser stesso a decifrare i cookie e restituirli in chiaro. Particolarmente pericolosa è la raccolta dei file .tbres presenti nella cache Token Broker, perché consente di acquisire access token, refresh token e sessioni Microsoft 365 e Microsoft Entra ID riutilizzabili anche senza conoscere la password. La tecnica si inserisce in un panorama nel quale l’identità cloud è diventata il bersaglio principale: il device code phishing può aggirare l’MFA e consegnare l’account Microsoft 365 agli attaccanti, mentre piattaforme criminali più recenti combinano token OAuth, sessioni del browser e registrazione di dispositivi per mantenere l’accesso anche dopo il cambio delle credenziali.

Il device code phishing sfrutta una pagina Microsoft autentica

Dal 16 luglio una parte delle pagine CaptiveCrunch ha iniziato a indirizzare le vittime verso procedure di device code authentication, un flusso OAuth legittimo pensato per televisori, dispositivi IoT e sistemi privi di un’interfaccia completa per il login. L’attaccante avvia la richiesta sul proprio dispositivo e convince la vittima a inserire il codice ricevuto in una vera pagina Microsoft. L’utente vede quindi il dominio corretto, completa l’autenticazione e approva inconsapevolmente la sessione aperta dall’operatore ostile. L’integrazione con il captive portal rende l’inganno più credibile, perché la richiesta appare nel momento in cui il viaggiatore si aspetta di dover confermare l’accesso alla rete o ripristinare la connettività. Storm-2945 aveva già condotto da febbraio campagne di phishing basate su device code e codici OAuth, ottenendo la registrazione di dispositivi in Entra e l’accesso ai dati di Microsoft 365. La tecnica non è nuova per Midnight Blizzard: attività analoghe erano state collegate a Storm-2372, mentre strumenti criminali recenti hanno mostrato come gli account Microsoft 365 possano essere sottratti senza chiedere direttamente la password. CaptiveCrunch modifica però il contesto dell’attacco, perché unisce manipolazione del traffico, social engineering, malware e abuso dell’identità cloud in un’unica catena avviata dalla connessione a una rete ospite.

FruitStone coordina malware, operatori e infrastruttura

Microsoft ha identificato anche FruitStone, il pannello web utilizzato per amministrare l’infrastruttura CaptiveCrunch. L’interfaccia si presenta come una piattaforma aziendale chiamata CloudSync Console e consente agli operatori di visualizzare i sistemi compromessi, aprire shell remote, esplorare i file, acquisire screenshot, attivare webcam e microfono, scaricare credenziali e modificare in tempo reale la configurazione degli impianti. Un wizard permette di generare nuove build di CornFlake scegliendo server C2, moduli di raccolta, tecniche di offuscamento, estensioni dei file da cercare e modalità del falso aggiornamento.

Il pannello gestisce inoltre proxy intermedi, certificati TLS, server di staging, profili di beacon e domini DNS di fallback. L’adozione di account separati, sessioni revocabili e controlli contro il brute force indica un’infrastruttura progettata per più operatori e campagne prolungate. Microsoft ha osservato anche un uso significativo dell’intelligenza artificiale a supporto delle operazioni e ritiene che i commenti dettagliati presenti nel codice ChocoShell possano essere compatibili con una produzione assistita da modelli generativi. Questo non dimostra che l’intera piattaforma sia stata creata dall’AI, ma evidenzia come gli attori statali stiano incorporando strumenti generativi nello sviluppo, nell’adattamento e nella documentazione del malware.

Le reti degli hotel devono essere considerate non affidabili

La principale mitigazione consiste nel non attribuire fiducia alla rete soltanto perché appartiene a un hotel, aeroporto o centro congressi riconoscibile. Microsoft raccomanda di preferire hotspot personali, connessioni cellulari, eSIM o dispositivi di viaggio amministrati dall’azienda, evitando di scaricare aggiornamenti, certificati, utility di rete o strumenti di sicurezza proposti da un captive portal. Gli aggiornamenti devono essere avviati esclusivamente attraverso Windows Update, il browser o i canali ufficiali del produttore. Le organizzazioni possono impedire ai dispositivi gestiti di collegarsi a reti Wi-Fi non configurate tramite MDM, adottare passkey e autenticazione resistente al phishing e bloccare il device code flow quando non è indispensabile. Dove il flusso deve rimanere disponibile, occorre limitarlo attraverso Conditional Access, dispositivi conformi e località attendibili. I team di sicurezza devono inoltre monitorare la creazione di eseguibili nei minuti successivi ai controlli automatici di connettività, la registrazione di servizi chiamati svchost32, le modifiche alle chiavi Run, le attività pianificate anomale, la disattivazione di AMSI e l’accesso insolito ai database dei browser. L’attribuzione a Midnight Blizzard collega CaptiveCrunch a una strategia di spionaggio persistente già emersa quando il gruppo russo aveva compromesso account e sistemi interni di Microsoft. La differenza è che il nuovo accesso iniziale non passa necessariamente dalla rete della vittima: può iniziare durante una trasferta, nel breve intervallo in cui un dipendente collega il portatile aziendale al Wi-Fi dell’albergo.