Microsoft Threat Intelligence ha pubblicato il 31 luglio 2026 l'advisory sulla campagna CaptiveCrunch: Storm-2945, sub-cluster attribuito a Midnight Blizzard, manipola dal maggio 2026 reti Wi-Fi hospitality con captive portal in diversi paesi per distribuire malware e sottrarre credenziali Microsoft Entra ID. Il cambio di paradigma è netto: l'attacco non parte da una email di phishing ma dall'infrastruttura stessa dell'albergo, che il viaggiatore considera banale e legittima.
L'operazione sfrutta due leve tecniche convergenti: il dirottamento automatico dei browser connectivity checks per servire fake update, e l'abuso del device code authentication flow per aggirare la percezione di MFA. Microsoft ringrazia esplicitamente Anthropic e OpenAI per la collaborazione nell'investigazione, confermando l'uso dell'AI come acceleratore operativo.
- Storm-2945, sub-cluster operativo di Midnight Blizzard (SVR russo), manipola DNS e HTTP traffic su reti captive portal hospitality worldwide dal maggio 2026.
- Il RAT CornFlake, scritto in Go, si installa in
%APPDATA%\svchost32\svchost32.execon persistenza ridondante: servizi Windows, Registry Run keys, scheduled tasks e watchdog attivo. - Il C2 usa ECDH P-256 con chiave di sessione derivata via SHA-256 su protocollo JSON custom; il traffic capture non è decifrabile senza la private key session-specific.
- ReliaQuest ha identificato doppelganger domains per adversary-in-the-middle phishing con abuso del device code authentication flow in Microsoft Entra ID, riportato il 23 luglio 2026.
- Microsoft raccomanda di trattare le reti public/hospitality come untrusted, preferire mobile hotspot, bloccare il device code authentication dove possibile.
"Since early May 2026, Microsoft Threat Intelligence has observed Storm-2945, a sub-cluster of Midnight Blizzard, conducting widespread but targeted traffic manipulation attacks involving hospitality sector networks served by captive portals worldwide."
Come funziona la trappola del captive portal
Il meccanismo iniziale è subdolo perché non richiede azione umana deliberata. Quando un dispositivo si connette a una rete Wi-Fi hospitality, il sistema operativo esegue automaticamente connectivity checks per verificare la presenza di un captive portal. Storm-2945 manipola questi controlli a livello DNS e HTTP, reindirizzando il browser verso landing page che mimano update di sistema: Windows Update, Microsoft Defender, DirectX, Visual C++ Redistributable, persino Netflix.
Questa tecnica, nota come ClickFix, presenta finestre di progresso fake configurabili a build time. Cinque varianti sono documentate: winupdate, defender, directx, vcredist, netfix. La finestra occupa l'attenzione della vittima mentre il dropper si copia nella path %APPDATA%\svchost32\svchost32.exe, mimando il nome del processo di sistema legittimo svchost.exe. Il nome del servizio registrato è "Cloud Sync Service", ulteriore camouflage.
Microsoft nota "similarities" tecniche tra le reti compromesse in diversi paesi, suggerendo che l'accesso "might not be limited to isolated compromises of individual venues and could reflect access to shared services within portions of the captive portal ecosystem". Il vettore di compromissione iniziale è ancora under investigation: non emerge se l'accesso derivi da credenziali rubate, supply chain del provider, o vulnerabilità specifica del software di gestione.
CornFlake: architettura e persistenza del RAT
CornFlake è un RAT Windows scritto in Go con capacità di sorveglianza completa: keylogging, monitoraggio clipboard, screenshot, audio/video, esfiltrazione file, furto di credenziali e token di sessione, shell remota. La sua architettura C2 è progettata per resistere all'analisi forense passiva. L'handshake usa ECDH P-256 per lo scambio di chiave effimera, con derivazione della session key via SHA-256. Il protocollo applicativo è JSON custom, incapsulato nel canale cifrato. Senza la private key della sessione specifica, il traffic capture rimane indecifrabile.
Un elemento distintivo è la runtime configuration via file sync.dat, che consente hot reconfiguration del C2 senza necessità di redeploy del malware. Il meccanismo di persistenza è ridondante e autoriparante: oltre a service registrations, Registry Run keys e scheduled tasks, CornFlake implementa un persistence watchdog che esegue continuamente per ripristinare qualsiasi meccanismo di persistenza rimosso. Questa struttura rende la pulizia manuale impraticabile senza terminare prima il processo watchdog.
Microsoft documenta anche "indications" di targeting Android tramite APK distribuiti attraverso le stesse landing ClickFix, ma l'estensione effettiva di questo vettore è non quantificata.
Device code phishing: il pivot da rete locale a cloud identity
Dopo l'installazione del RAT o parallelamente al dirottamento del captive portal, Storm-2945 esegue il pivot verso il cloud identity. ReliaQuest, citato nell'advisory Microsoft, ha riportato il 23 luglio 2026 l'uso di doppelganger domains che mimano servizi Microsoft online per operazioni adversary-in-the-middle. Il target specifico è il device code authentication flow in Microsoft Entra ID.
Questo flow è progettato per dispositivi senza input capabilities: l'utente inserisce un codice su un altro dispositivo per autorizzare l'accesso. In un scenario AitM, l'attaccante intercetta il codice, lo inserisce in una sessione legittima appena avviata, e ottiene token validi. La vittima vede una schermata di autenticazione Microsoft autentica e conclude — erroneamente — che la MFA ha protetto l'accesso. Storm-2945 è collegato a Storm-2372, sub-cluster di initial access di Midnight Blizzard, per questa stessa tecnica di device code e OAuth phishing, nonché per esfiltrazione via Microsoft Graph.
L'abuso del device code flow non è una vulnerabilità del protocollo ma una sua debolezza percepita: funziona come specificato, ma il contesto captive portal annulla le assunzioni di trust su cui si basa.
AI come moltiplicatore di velocità operativa
Microsoft ha "observed Storm-2945 leveraging AI to support a significant portion of these operations". Il ruolo specifico non è dettagliato in termini tecnici — non emerge se l'AI generi payload, iteri malware, o supporti il social engineering — ma la collaborazione con Anthropic e OpenAI, ringraziata esplicitamente, indica che l'intelligence community e i laboratori AI stanno condividendo indicatori di compromissione su operazioni state-sponsored.
Questa constatazione ha un valore separato dalla campagna specifica: segnala che l'uso dell'AI da parte di APT legati al SVR è passato dalla speculazione all'osservazione documentata. La velocità di iterazione del malware, la variabilità delle landing ClickFix, e la scalabilità del targeting captive portal sono tutti compati che beneficiano di automazione intelligente.
Cosa fare adesso
Microsoft ha emesso raccomandazioni operative dirette, riportate anche da Forbes nel riassunto di Zak Doffman. Le quattro priorità sono:
Trattare le reti public e hospitality come untrusted. Questa è la raccomandazione fondamentale che cambia il default percorso: non più "attento ma connesso", ma "connesso solo se necessario e mai per operazioni sensibili".
Preferire mobile hotspot o connessione cellulare per lavoro corporate su strada. Il cellular bypassa completamente l'infrastruttura captive portal, eliminando il vettore di attacco documentato.
Evitare aggiornamenti software su reti captive portal. Se il browser o il sistema segnala un update necessario, differire l'operazione fino a connessione trusted. Gli update legittimi non hanno urgenza che giustifichi il rischio.
Bloccare il device code authentication dove possibile via Conditional Access policy, e limitare il flusso a casi d'uso strettamente necessari. Questo riduce la superficie di attacco per il pivot AitM a cloud identity.
Microsoft non nomina provider specifici di captive portal equipment, quindi non è possibile filtrare per vendor o verificare patch.
La lezione del travel risk sistemico
CaptiveCrunch rappresenta una escalation nella logica del targeting mobile. Gli APT hanno sempre considerato i viaggiatori corporate come target deboli — fuori dal perimetro aziendale, stanchi, inclini a connettersi a qualsiasi rete disponibile. La novità è l'attacco all'infrastruttura condivisa che serve questi viaggiatori, trasformando il rischio individuale in rischio sistemico. Non serve spear-phishing personalizzato se il captive portal dell'hotel è già compromesso.
L'uso combinato di rete hijacking, malware Go con C2 avanzato, e abuso di protocolli cloud identity legittimi mostra una maturità operativa che rende difficile la difesa perimetrale tradizionale. L'unica risposta efficace è il cambio di comportamento: assumere hostile il network che fino a ieri era banale background.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/
- https://thewindowsupdate.com/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/
- https://thecyberexpress.com/captivecrunch-midnight-blizzard/
- https://www.arrowwoodservices.com/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/
- https://securityaffairs.com/196466/security/security-affairs-newsletter-round-588-by-pierluigi-paganini-international-edition.html
- https://www.forbes.com/sites/zakdoffman/2026/08/01/microsoft-issues-hotel-wi-fi-warning-for-windows-pc-users/
- https://securityaffairs.com/196441/apt/russian-hackers-hijack-hotel-wi-fi-to-steal-microsoft-365-tokens.html
- https://www.resecurity.com/blog/article/when-ai-becomes-the-attacker-understanding-autonomous-offensive-security-agents
- https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs
- https://www.securityweek.com/dentaquest-data-breach-potentially-impacts-over-23-million-people/
- https://www.securityweek.com/shinyhunters-claims-ernst-young-hack/
- https://www.securityweek.com/hacker-conversations-tal-kollanders-journey-from-black-hat-to-hack-blocker/