Microsoft Threat Intelligence ha reso pubblica il 31 luglio 2026 l'operazione CaptiveCrunch: una campagna del sottogruppo Storm-2945 di Midnight Blizzard (APT29/SVR) che trasforma le reti captive portal di strutture ricettive worldwide in piattaforme di delivery malware e furto di credenziali Microsoft Entra ID. Non si tratta di singole compromissioni isolate. Secondo Microsoft, le "notable commonalities in the equipment and management systems used across multiple affected networks" indicano accesso potenzialmente sistemico a servizi condivisi dell'ecosistema captive portal.
- Microsoft attribuisce la campagna CaptiveCrunch a Storm-2945, sottogruppo operativo di Midnight Blizzard (APT29/SVR), attivo da inizio maggio 2026.
- Il malware primario CornFlake è un RAT Windows scritto in Go con crittografia ECDH P-256, keylogging, sorveglianza audio/video e persistence con watchdog che ripristina i meccanismi rimossi.
- Storm-2945 sfrutta posizioni adversary-in-the-middle su reti captive portal per manipolare DNS e HTTP, rispondere ai connectivity check automatici dei browser e reindirizzare verso phishing device code.
- Microsoft ha osservato il gruppo usare l'intelligenza artificiale per supportare "a significant portion" delle operazioni CaptiveCrunch, inclusa generazione di codice evasivo con commenti che citano specifiche firme di rilevamento Microsoft.
Come funziona l'attacco: dal captive portal al RAT
L'architettura dell'operazione si articola in tre livelli. Primo: la compromissione dell'infrastruttura di rete captive portal, che permette a Storm-2945 di intercettare e manipolare il traffico DNS e HTTP dei client connessi. Secondo: l'uso della posizione adversary-in-the-middle per reindirizzare gli utenti verso infrastrutture di phishing o per rispondere direttamente ai connectivity check automatici dei browser — quel tentativo di accesso a un dominio Microsoft noto che conferma "la connessione funziona" — con payload malevolo invece della risposta legittima.
Terzo: il delivery del malware CornFlake, un RAT Windows compilato in Go che rappresenta l'implant primario persistente della campagna. CornFlake si installa in %APPDATA%\svchost32\svchost32.exe e registra un servizio Windows denominato "Cloud Sync Service". La persistenza è rinforzata da un watchdog che monitora e ripristina i meccanismi di persistenza qualora vengano rimossi. Il file di configurazione runtime sync.dat supporta hot reconfiguration del C2, delle directory di lavoro, dei pattern file e dei parametri TLS.
La comunicazione con il server di comando e controllo passa attraverso un canale cifrato che impiega ECDH P-256 per lo scambio di chiavi effimere e SHA-256 per derivare la chiave di sessione. Ogni sessione C2 usa una chiave effimera unica: il traffico intercettato senza la chiave privata specifica è, per la documentazione di Microsoft, impossibile da decifrare.
CornFlake: le capacità tecniche del malware
Le specifiche tecniche del RAT, dettagliate nell'analisi di Microsoft, delineano uno strumento multi-funzione orientato all'espionaggio attivo. CornFlake supporta: keylogging, monitoraggio degli appunti, cattura di screenshot, sorveglianza audio tramite WASAPI con output WAV, sorveglianza video tramite Media Foundation con frame JPEG, esfiltrazione di file, shell remota e monitoraggio dei dispositivi di memorizzazione rimovibili.
Un elemento distintivo è la gestione delle finestre false: a tempo di build, l'operatore può configurare il malware per mascherarsi come aggiornamenti Windows (winupdate), Microsoft Defender (defender), DirectX (directx), Visual C++ Redistributable (vcredist) o Netflix (netfix). Questa flessibilità indica progettazione modulare pensata per adattarsi al contesto della vittima.
L'infrastruttura di comando e controllo si appoggia su FruitStone, un pannello web brandizzato come fittizio prodotto enterprise cloud. La scelta di un'interfaccia C2 con cosmetica commerciale è coerente con la pratica di Storm-2945 di mimetizzare l'attività malevola come servizi legittimi.
Il device code phishing e il bypass della MFA
A partire dal 16 luglio 2026, alcune pagine captive portal hanno iniziato a reindirizzare gli utenti verso flussi di autenticazione device code di Microsoft Entra ID. La tecnica non è nuova — come ha osservato Microsoft, "the technique was not new but embedding it in a captive portal made the request more likely to seem legitimate" — ma il contesto la rende particolarmente efficace: l'utente, abituato a inserire codici per accedere al Wi-Fi, non percepisce l'anomalia nell'inserire un codice attacker-supplied su una pagina Microsoft genuina.
Il device code authentication flow è progettato per dispositivi senza interfaccia di input: l'utente inserisce un codice su un altro dispositivo per autorizzare l'accesso. Storm-2945 inverte la logica: fornisce il codice alla vittima, che lo immette autenticando di fatto una sessione controllata dall'attaccante. Il risultato è accesso all'account senza furto della password e, cruciale, bypass della multi-factor authentication: il token ottenuto è legittimo, non rubato.
Parallelamente, ReliaQuest ha identificato doppelganger domains che imitano servizi Microsoft online, con report datato 23 luglio 2026. L'attività non si limita agli hotel: conference center e altri shared venues rientrano nel perimetro di targeting, con obiettivo esplicito l'accesso agli account dei viaggiatori d'affari.
L'intelligenza artificiale come moltiplicatore offensivo
Un aspetto che segna l'escalation della campagna è l'integrazione sistemica dell'intelligenza artificiale nelle operazioni. Microsoft ha osservato Storm-2945 usare l'AI per supportare "a significant portion" delle operazioni CaptiveCrunch. Più specificamente, i commenti nel codice di CornFlake citano "specific Microsoft detection signatures and explained each evasion choice", indicazione che Microsoft interpreta come generazione AI-assisted.
L'uso di AI per personalizzazione evasiva del malware abbassa il costo operativo della variante per obiettivo: invece di sviluppare manualmente tecniche di elusione, l'operatore può generare, testare e iterare codice che risponde a specifici controlli difensivi. L'effetto è una corsa agli armamenti in cui la latenza tra rilevamento e evasione si comprime.
Microsoft ha ringraziato Anthropic e OpenAI per la collaborazione nell'investigazione. Il dossier non specifica il ruolo esatto delle due società, che non risultano vittime o complici dell'attacco.
Cosa fare adesso
- Microsoft raccomanda di assumere che l'infrastruttura di rete pubblica e hospitality non sia affidabile e di adottare controlli che limitino l'esposizione alla manipolazione del traffico, al furto di credenziali e al device code phishing.
- Le organizzazioni dovrebbero valutare policy che limitino l'uso di reti Wi-Fi pubbliche per operazioni aziendali sensibili, privilegiando connessioni cellulari o VPN affidabili.
- È necessario esaminare le configurazioni di Conditional Access per rilevare sessioni da posizioni geografiche o reti anomale, con particolare attenzione ai flussi device code non richiesti dall'utente.
- I team di sicurezza dovrebbero monitorare la presenza del servizio "Cloud Sync Service" e del percorso %APPDATA%\svchost32\svchost32.exe come indicatori di compromissione noti.
"Organizations should assume that public and hospitality network infrastructure might not be trustworthy and should adopt controls that limit exposure to traffic manipulation, credential theft, and device code phishing" — Microsoft Security Blog
Perche è importante
CaptiveCrunch ridefinisce il perimetro di rischio per le aziende con workforce mobile. Il Wi-Fi di hotel e conference center, tradizionalmente considerato "sufficientemente sicuro" per email leggere o navigazione web, è ora documentato come vettore di compromissione APT di stato-nazione con malware persistente e furto di credenziali cloud. La consapevolezza individuale non basta: il device code phishing sfrutta comportamenti legittimi dell'utente in un contesto che appare normale.
L'elemento di escalation più rilevante per i difensori è l'uso di AI per generazione evasiva. Se confermato come trend, segna un punto di non ritorno nella dinamica offensiva-difensiva: la personalizzazione del malware passa da capacità specialistica a commodity operativa. Le difese devono adattarsi a un avversario che può iterare varianti a velocità superiore ai cicli di aggiornamento delle firme.
Domande frequenti
- Cos'è esattamente un captive portal?
- Una pagina web che blocca l'accesso a Internet finché l'utente non effettua un'azione, tipicamente l'autenticazione o l'accettazione di termini di servizio. È lo standard di accesso Wi-Fi in hotel, aeroporti e spazi pubblici. Microsoft ha documentato come questa interfaccia sia stata weaponizzata per l'attacco.
- Il device code phishing ruba la mia password?
- No. La tecnica ottiene un token di autenticazione legittimo facendo inserire all'utente un codice già generato dall'attaccante. La password non viene intercettata; il bypass avviene a livello di flusso di autenticazione, non di furto di credenziali tradizionale.
- L'attacco colpisce solo Windows?
- Il RAT CornFlake è Windows-specific. Tuttavia, Microsoft ha rilevato indicazioni di targeting anche Android tramite APK nelle istruzioni ClickFix, sebbene il dossier non documenti dettagli tecnici su questa componente.
Fonti
- https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/
- https://www.infosecurity-magazine.com/news/captivecrunch-midnight-blizzard/
- https://thecyberexpress.com/captivecrunch-midnight-blizzard/
- https://thewindowsupdate.com/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft-2/
- https://southfloridareporter.com/is-hotel-wi-fi-trapping-you-what-microsofts-new-alert-means-for-your-privacy/
- https://thenationaldesk.com/news/americas-news-now/microsoft-warns-windows-pc-users-of-russian-hackers-on-hotel-wifi-anthropic-openai-threat-intelligence-android
- https://tech.yahoo.com/cybersecurity/articles/microsoft-issues-hotel-wi-fi-125650555.html
- https://southfloridareporter.com/who-we-are/
- https://southfloridareporter.com/?page_id=21342
- https://southfloridareporter.com/td_d_slug_15/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.