APT29 attacca Wi-Fi hotel: ruba credenziali M365 con malware

Microsoft attribuisce a Storm-2945, sottogruppo di Midnight Blizzard, la campagna CaptiveCrunch che compromette captive portal di hotel per dirottare DNS e

Microsoft ha attribuito a Storm-2945, sottogruppo operativo di Midnight Blizzard, una campagna di cyberspionaggio globale denominata CaptiveCrunch che compromette le reti Wi-Fi di hotel e centri congressi per intercettare credenziali aziendali e installare malware di sorveglianza sui dispositivi dei viaggiatori d'affari. L'attività è documentata almeno da febbraio 2026, con escalation significativa dall'inizio di maggio 2026, quando gli attaccanti hanno iniziato a modificare le impostazioni DNS sui gateway captive portal per creare posizioni adversary-in-the-middle. Il 3 agosto 2026 Microsoft ha reso pubblica l'attribuzione, riconoscendo una delle prime campagne APT documentate che sfrutta sistematicamente l'infrastruttura Wi-Fi condivisa del settore hospitality come vettore primario.

Punti chiave

Microsoft attribuisce la campagna CaptiveCrunch a Storm-2945, sottogruppo di Midnight Blizzard (APT29), valutato come legato al SVR russo.
Gli attaccanti modificano DNS e traffico HTTP su gateway captive portal di hotel, creando adversary-in-the-middle senza richiedere compromissione preventiva del dispositivo.
Tre vettori di attacco confermati: pagine phishing Microsoft 365, abuse del device code flow di Microsoft Entra ID, e fake update con tecnica ClickFix.
Malware identificati: CornFlake, RAT in Go con keylogging, cattura schermo/audio/webcam, persistenza multipla; e ChocoShell, seconda famiglia rilevata da Microsoft.
ReliaQuest aveva documentato la stessa infrastruttura otto giorni prima di Microsoft, con tradecraft simile ad APT28 ma senza attribuzione definitiva.

Come funziona l'attacco: il captive portal come arma

Gli attaccanti non hanno bisogno di violare singoli smartphone o laptop. Secondo Microsoft e ReliaQuest, il bersaglio è il gateway stesso che gestisce il captive portal: il punto di accesso che reindirizza i clienti dell'hotel verso una pagina di login prima di concedere la connessione a Internet. Compromettendo questo nodo, gli operatori di Storm-2945 acquisiscono il controllo del resolver DNS assegnato ai dispositivi connessi e possono manipolare le risposte DNS e il traffico HTTP.

La posizione adversary-in-the-middle non è silenziosa nel senso tecnico del termine: come ha evidenziato l'analisi di The Hacker News, "il gateway controlla dove viene inviato l'utente, ma non infetta silenziosamente l'endpoint. La vittima deve ancora scaricare o eseguire il payload". Tuttavia, la collocazione a monte del TLS consente di presentare pagine di phishing plausibili per Microsoft 365, reindirizzare verso flussi di autenticazione compromessi e servire fake update che sfruttano la tecnica ClickFix per indurre l'utente a eseguire comandi manualmente.

Microsoft ha osservato l'abuso del device code flow di Microsoft Entra ID a partire da luglio 2026. Il 16 luglio 2026 alcune landing page di CaptiveCrunch hanno iniziato a reindirizzare le vittime verso pagine di phishing che sfruttano questo flusso di autenticazione. Il device code flow, progettato per dispositivi con input limitato come smart TV o stampanti, genera un codice che l'utente inserisce su un altro dispositivo per completare l'autenticazione: se il portale presenta un codice controllato dall'attaccante, le credenziali e i token OAuth possono essere intercettati a valle.

CornFlake e ChocoShell: l'arsenale di sorveglianza

Microsoft ha identificato due famiglie malware. CornFlake è un remote access trojan scritto in Go che si maschera come "Cloud Sync Service". Le sue capacità documentate includono keylogging, cattura di screenshot, registrazione audio e video dalla webcam, monitoraggio degli appunti e esfiltrazione dei dati raccolti. La persistenza è costruita su più livelli: registrazioni come servizio Windows, chiavi Run del registro, attività pianificate e una routine watchdog che garantisce la reattivazione in caso di interruzione.

La seconda famiglia, ChocoShell, è stata identificata da Microsoft ma il dossier non chiarisce se sia stata osservata attivamente in-the-wild o solo analizzata come componente correlato. Parallelamente, i ricercatori hanno scoperto un pannello web non protetto denominato FruitStone, utilizzato dagli attaccanti per gestire i sistemi infetti. L'esposizione di questo strumento amministrativo ha fornito a Microsoft visibilità sull'infrastruttura di comando e controllo della campagna.

Un dettaglio distintivo segnalato da Microsoft riguarda lo sviluppo del malware: "basandosi sui commenti estesi nel codice, Microsoft valuta che strumenti di AI siano stati probabilmente utilizzati per sviluppare i due malware". Questa valutazione, pur non essendo una certezza forense, indica che gli operatori di Storm-2945 potrebbero aver integrato assistenti generativi nel loro flusso di sviluppo, abbassando potenzialmente la barriera per la produzione di codice commentato e strutturato.

Il vettore iniziale che nessuno ha ancora chiuso

Microsoft non ha determinato il vettore iniziale di compromissione dei gateway captive portal. La fonte suggerisce che l'accesso a infrastruttura condivisa — piuttosto che a dispositivi isolati — sia la modalità più plausibile. ReliaQuest ha ipotizzato con bassa-media confidenza che una combinazione di interfacce di gestione esposte e credenziali deboli o riutilizzate possa aver fornito l'accesso iniziale, ma si tratta di un'ipotesi, non di una conferma.

Il dossier non specifica il numero di hotel o centri congressi effettivamente compromessi, né il numero di vittime o account rubati. Non emerge l'identità dei fornitori di infrastruttura captive portal coinvolti. Questi limiti sono rilevanti per le aziende che devono valutare il rischio: senza sapere quali catene alberghiere o quali produttori di gateway siano stati colpiti, la mitigazione non può essere selettiva ma deve essere universale.

L'attribuzione a Storm-2945 come sottogruppo di Midnight Blizzard è solida secondo Microsoft; l'attribuzione governativa UK/US al SVR copre Midnight Blizzard nel suo complesso, non CaptiveCrunch specificamente. Non emergono sovrapposizioni infrastrutturali che colleghino direttamente l'attore a Storm-2945 al livello di attribuzione statale sul singolo incidente allo stato attuale.

Cosa fare adesso

Per le aziende con dipendenti in viaggio, le fonti convergenti indicano quattro direttrici prioritarie. La prima: uso obbligatorio di VPN full-tunnel per tutto il traffico, non solo per le applicazioni aziendali, dal momento della connessione al captive portal. La seconda: disabilitazione del device code flow di Microsoft Entra ID dove non strettamente necessario, riducendo la superficie di attacco per questo vettore specifico documentato da luglio 2026. La terza: ricalibrazione delle policy di accesso remoto per considerare le reti Wi-Fi pubbliche, anche business-grade, come reti non attendibili per default. La quarta: formazione specifica contro le tecniche ClickFix, che inducono l'utente a copiare e incollare comandi apparentemente innocui ma dannosi.

Per il settore hospitality, la responsabilità nella supply chain di infrastruttura Wi-Fi condivisa emerge come questione aperta. I gateway captive portal non sono periferiche passive ma nodi critici della catena di sicurezza: la loro compromissione espone centinaia o migliaia di utenti simultaneamente, con effetto amplificato rispetto agli attacchi endpoint tradizionali.

"Microsoft has linked a global campaign targeting hospitality Wi-Fi networks to the Russian threat actor Midnight Blizzard, also known as APT29" — BleepingComputer, riportando Microsoft

Perché questo cambia la posta in gioco

Il paradosso del viaggiatore d'affari si chiude in modo amaro: l'hotel selezionato per sicurezza, pulizia e posizione strategica è diventato il punto debole della catena. Le best practice standard — verificare il lucchetto HTTPS, controllare il certificato, evitare reti aperte — presuppongono un resolver DNS affidabile. Quando il gateway stesso mente sulle risposte, il browser mostra esattamente ciò che l'attaccante vuole che mostri.

La campagna CaptiveCrunch non introduce vulnerabilità zero-day nel software dei gateway: introduce una consapevolezza che l'infrastruttura condivisa del settore hospitality è un bersaglio valido per APT di livello statale. La domanda non è più se un hotel della propria catena preferita possa essere compromesso, ma quando la propria azienda smetterà di trattare il Wi-Fi alberghiero come connessione attendibile.

Domande frequenti

Il captive portal compromesso può aggirare HTTPS?

Il gateway controlla il resolver DNS e può reindirizzare verso domini controllati dall'attaccante prima che il browser instauri il TLS. Il certificato HTTPS del sito legittimo non viene violato, ma l'utente viene indirizzato altrove. La protezione efficace richiede VPN o verifica out-of-band degli endpoint.

Il malware CornFlake è rilevabile dagli antivirus?

Il dossier non fornisce informazioni su tassi di rilevamento o evasione specifici. CornFlake utilizza tecniche di mascheramento come nome di servizio plausibile e persistenza multipla, ma la sua identificazione da parte di Microsoft suggerisce che indicatori di compromissione siano disponibili per chi li cerca attivamente.

Quali settori oltre all'hospitality sono a rischio?

La fonte non documenta espansioni della campagna oltre il settore hospitality. Tuttavia, qualsiasi infrastruttura con captive portal condiviso e gateway esposti — aeroporti, lounge business, centri congressi, co-working — presenta architettura tecnicamente vulnerabile allo stesso modello di attacco.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti