Microsoft Threat Intelligence identifica operação que usa portais cautivos para redirecionar tráfego e distribuir malware.
Desde o início de maio de 2026, a equipe da Microsoft Threat Intelligence observa que o subgrupo Storm-2945, vinculado ao Midnight Blizzard, realiza ataques de manipulação de tráfego em redes do setor de hotelaria atendidas por portais cautivos em vários países. A ação inclui redirecionamento por DNS e HTTP e uso de domínios doppelganger para campanhas de phishing que abusam do fluxo de autenticação por device code em Microsoft Entra ID, conforme relatório público da Microsoft e observações de terceiros como a ReliaQuest.
A campanha CaptiveCrunch
Desde fevereiro de 2026, Storm-2945 executa operações apoiadas por IA, incluindo campanhas de phishing por código de dispositivo e abuso de OAuth. Desde o início de maio de 2026, a campanha, denominada CaptiveCrunch, tem manipulado o tráfego de redes com portal cautivo para forçar usuários a passar por infraestruturas controladas pelos atacantes.
Conforme a investigação, os atacantes redirecionam usuários para páginas de phishing que imitam serviços legítimos. Em alguns casos, os alvos são instruídos a inserir códigos de dispositivo em páginas oficiais de login da Microsoft, permitindo que o invasor obtenha acesso à conta por meio do fluxo de device code em Microsoft Entra ID.
A manipulação de tráfego também conduziu à entrega de cargas maliciosas que simulam atualizações de navegador ou do sistema operacional. Foram observadas variantes que incluem troyanos de acesso remoto (RAT) compilados em Golang, com capacidades para enumerar sistemas, coletar arquivos, registrar teclas, roubar credenciais e tokens, gravar áudio e vídeo, monitorar mídias removíveis e fornecer controle remoto permanente.
Ferramentas e infraestrutura
A campanha utiliza um conjunto de ferramentas nomeadas pela Microsoft:
– CornFlake: um RAT para Windows escrito em Go. Em execução inicial, apresenta janelas falsas de progresso e copia o binário para %APPDATA%svchost32svchost32.exe, estabelecendo persistência como serviço com o nome de exibição Cloud Sync Service. O implante usa ECDH P-256 para troca de chaves e comunica-se por um protocolo JSON sobre canal cifrado. Entre as capacidades estão keylogging, captura de tela, gravação de microfone e webcam, roubo de credenciais de navegadores (módulo derivado de ChromeKatz), exfiltração seletiva de arquivos e execução remota de comandos.
– ChocoShell: um ladrão baseado em PowerShell executado em memória, projetado para extrair cookies de sessão, senhas armazenadas, tokens Microsoft 365/Azure AD e credenciais Wi‑Fi. ChocoShell desativa a interface AMSI por reflexão .NET, emprega checagens de sandbox baseadas em tempo e usa rotas HTTPS que imitam pixels de rastreamento (/t/pixel.gif?m=
– FruitStone: painel C2 baseado em web que opera como console de gerenciamento (mascarado como CloudSync Console). Fornece controle de agentes CornFlake, builder de campanhas, gestão de relés proxy, perfis de beaconing e servidores de staging. O painel permite provisionar múltiplos operadores e reconfigurar cargas e servidores em tempo real.
A infraestrutura observada inclui domínios e endereços IP atribuídos a atividades de CaptiveCrunch, entre eles ms365-device.com, ms365-live.com, m365-owa.com e endereços IP como 213.145.86.112, 104.194.159.150 e 107.189.26.194. Hashes de arquivo associados às variantes CornFlake e ChocoShell também foram identificados com primeiras aparições em 2026-07-03 e 2026-07-10, respectivamente.
Risco e vetores de comprometimento
ReliaQuest e a investigação da Microsoft indicam que a atividade afetou redes Wi‑Fi de hotéis, centros de conferência e espaços compartilhados. Segundo essa avaliação, o objetivo inclui o acesso a contas de viajantes corporativos. Parte das páginas de aterrissagem empregadas pela campanha redireciona usuários para experiências que solicitam códigos de dispositivo em páginas legítimas da Microsoft, técnica que permite autenticar sessões controladas pelos atacantes quando bem-sucedida.
Como se proteger contra CaptiveCrunch
Ao viajar, trate redes de hotéis, conferências e outros pontos de acesso públicos como pouco confiáveis. Prefira conexões privadas, como pontos de acesso móvel ou dispositivos hotspot gerenciados pela empresa. Considere usar túneis VPN ou soluções SSE que estabeleçam controles de acesso antes de acessar recursos sensíveis.
Evite baixar atualizações, certificados ou utilitários apresentados por portais cautivos. Verifique atualizações por mecanismos confiáveis do sistema operacional. Eduque usuários para reconhecer prompts no estilo ClickFix e instruções para colar e executar comandos em intérpretes como cmd.exe ou PowerShell.
Reforce controles de identidade e acesso. Implemente autenticação multifator (MFA) e considere bloquear o fluxo de device code em Microsoft Entra ID quando não for necessário. Use políticas de acesso condicional e políticas de risco de sessão para automatizar respostas a logins considerados arriscados.
Reduza a exposição durante o registro em portais cautivos. Não reutilize credenciais corporativas em páginas de registro de hotéis ou eventos. Minimize a divulgação de identidades e detalhes de viagem ao registrar-se em redes de hóspedes.
Detecção, caça e ferramentas de resposta
A Microsoft recomenda que clientes do Microsoft Defender consultem as detecções específicas associadas a Storm-2945. Entre as coberturas estão alertas do Microsoft Defender for Endpoint para downloads suspeitos e detecções de técnicas ClickFix, bem como sinais de manipulação AMSI e atividades anômalas de autenticação por código de dispositivo no Microsoft Defender for Identity e Defender XDR.
A publicação inclui consultas e regras para Microsoft Defender XDR, Microsoft Sentinel e ASIM que detectam, por exemplo, criação de arquivos logo após checagens NCSI típicas de portais cautivos, conexões com domínios e IPs vinculados à infraestrutura observada e presença do serviço CornFlake no registro do Windows. Também foram disponibilizados IOCs como domínios, endereços IP e hashes para integração em ferramentas de detecção.
Relação com Midnight Blizzard
Microsoft Threat Intelligence avalia que Storm-2945 é um subgrupo operacional de Midnight Blizzard, com base em sobreposições técnicas e operacionais. Essas incluem uso de phishing por device code e abuso de aplicações OAuth, exfiltração de correio via Microsoft Graph e victimologia semelhante à relatada em operações anteriores atribuídas ao grupo, que governos dos EUA e Reino Unido vinculam ao SVR, serviço de inteligência russo.
Encerramento e recursos
A Microsoft publicou orientações de mitigação, detecção e caça para ajudar organizações a identificar e defender-se contra a atividade atribuída a Storm-2945. A equipe de Microsoft Threat Intelligence agradece a colaboração de Anthropic e OpenAI na investigação. Para mais informações e atualizações, a Microsoft recomenda acompanhar o blog de Inteligência de Ameaças e os relatórios e ferramentas do Microsoft Defender e do Security Copilot.
Assuntos nesse artigo:
#captivecrunch, #storm2945, #midnightblizzard, #microsoft, #microsoftthreatintelligence, #microsoftentraid, #portalcautivo, #hotelaria, #phishing, #codigodispositivo, #oauth, #dns, #malware, #cornflake, #chocoshell, #fruitstone, #rat, #seguranca, #mfa, #ia