La notizia in sintesi
- Microsoft segnala CaptiveCrunch contro Wi-Fi di hotel e centri congressi.
- Il gruppo Storm-2945 manipola DNS, traffico HTTP e portali di accesso.
- Gli attacchi puntano a credenziali Microsoft 365, token di sessione e malware.
- VPN, hotspot personali e diffidenza verso richieste anomale riducono l’esposizione.
(Riassunto generato con AI)
CaptiveCrunch mette nel mirino i viaggiatori aziendali
Microsoft ha individuato CaptiveCrunch, una campagna di cyberspionaggio che colpisce le reti Wi-Fi di hotel, centri congressi e strutture condivise, prendendo di mira soprattutto dipendenti e dirigenti in trasferta. L’operazione è attribuita a Storm-2945, sottogruppo operativo di Midnight Blizzard, noto anche come APT29 o Cozy Bear e associato da Stati Uniti e Regno Unito al servizio d’intelligence estero russo SVR.
Secondo le ricostruzioni, l’attività è osservata almeno da febbraio 2026 e ha assunto una forma più invasiva dall’inizio di maggio, con la compromissione dei captive portal. Sono le pagine normalmente usate per accettare condizioni, inserire il numero di camera o un indirizzo email prima di navigare.
Il rischio nasce dalla fiducia riposta nell’infrastruttura dell’hotel: una schermata apparentemente ordinaria può reindirizzare la vittima a pagine Microsoft contraffatte, falsi aggiornamenti o procedure pensate per sottrarre credenziali e autorizzazioni aziendali.
Come funziona il dirottamento del portale Wi-Fi
Gli aggressori ottengono una posizione adversary-in-the-middle: controllando gateway o sistemi di gestione della rete, possono alterare risposte DNS e connessioni HTTP prima che raggiungano computer e smartphone. Anche digitare manualmente un indirizzo legittimo può quindi non bastare, perché il dispositivo riceve indicazioni manipolate dall’infrastruttura compromessa.
Una delle varianti mostra pagine simili a Microsoft 365 e raccoglie nome utente, password o dati di accesso. Un’altra sfrutta il device code flow di Microsoft Entra ID: la vittima inserisce un codice su una pagina autentica, ma autorizza inconsapevolmente il client dell’attaccante, che riceve un token OAuth valido.
La campagna utilizza anche la tecnica ClickFix, con finestre che simulano riparazioni di Windows, controlli antivirus o aggiornamenti del browser e invitano a eseguire comandi. Nessuna rete Wi-Fi legittima dovrebbe chiedere di avviare PowerShell, rundll32.exe, mshta.exe, script copiati negli appunti, certificati o file APK Android.
Il malware principale individuato è CornFlake, un trojan di accesso remoto scritto in Go. Può registrare i tasti premuti, controllare gli appunti, catturare schermate, audio e immagini dalla webcam, oltre a cercare documenti, dati sui dispositivi e informazioni sulle sessioni.
La persistenza del malware sfrutta servizi Windows, chiavi Run del Registro e attività pianificate. Il possibile impatto non riguarda soltanto la posta elettronica: token e sessioni SSO possono aprire l’accesso a SharePoint, OneDrive, Teams, applicazioni Azure e risorse collegate all’identità Entra.
Microsoft non ha stabilito il vettore iniziale della compromissione, ma la presenza di componenti ricorrenti in strutture diverse suggerisce possibili servizi condivisi, fornitori o piattaforme centralizzate.
Le precauzioni durante una connessione in hotel
La misura più prudente è evitare il Wi-Fi dell’hotel per dati aziendali critici, preferendo hotspot personale, eSIM dati o collegamento cellulare gestito. Se il captive portal è necessario, occorre completare solo la registrazione essenziale e attivare subito una VPN.
Configurare manualmente un DNS pubblico può non essere sufficiente: un gateway compromesso può intercettare e falsificare le normali interrogazioni DNS. Anche il lucchetto HTTPS non prova che un dominio simile appartenga davvero a Microsoft.
La conseguenza operativa è chiara: credenziali, download e comandi non devono mai essere inseriti o eseguiti nella fase di accesso alla rete. La sicurezza dipende anche dal riconoscere che un portale Wi-Fi non distribuisce aggiornamenti software.
FAQ
Cos’è la campagna CaptiveCrunch?
Sì, è un’operazione rilevata da Microsoft che usa captive portal compromessi per rubare credenziali, token di sessione e distribuire malware ai viaggiatori.
Chi viene preso di mira dagli attacchi?
Sì, il bersaglio principale è il personale aziendale in trasferta, perché l’obiettivo include account Microsoft 365, identità Entra e risorse aziendali collegate.
Una VPN protegge dal captive portal compromesso?
Sì, una VPN riduce l’esposizione dopo la registrazione alla rete, ma durante l’accesso iniziale restano da evitare credenziali, download e comandi suggeriti dal portale.
Quali richieste del Wi-Fi devono allarmare?
Sì, devono allarmare aggiornamenti del browser, certificati, verifiche antivirus, comandi PowerShell, script, richieste di codici dispositivo e installazioni APK.
Come è stata verificata questa ricostruzione?
Sì, il contenuto nasce da analisi approfondita e verifica incrociata della nostra Redazione su più fonti: ilsoftware.it e libero.it, incluso il contributo di Caterina Damiano.
