Midnight Blizzard sfrutta Wi-Fi di hotel per rubare credenziali Microsoft 365
Il gruppo di hacker russi Midnight Blizzard, legato al servizio di intelligence estero del paese, ha sfruttato reti Wi-Fi pubbliche di hotel e centri congressi per rubare credenziali Microsoft 365 e distribuire malware. La campagna, battezzata CaptiveCrunch da Microsoft Threat Intelligence, impiega due malware distinti: CornFlake e ChocoShell.
Risposta Rapida
- Midnight Blizzard sfrutta reti Wi-Fi non protette in strutture alberghiere per rubare credenziali Microsoft 365
- La campagna CaptiveCrunch utilizza due malware: CornFlake (RAT) e ChocoShell (credential stealer)
- Gli attacchi sfruttano manipolazione DNS e HTTP per reindirizzare utenti a pagine di phishing o download malware
- Microsoft consiglia di evitare Wi-Fi pubbliche e usare connessioni private o gestite
Tecnica di attacco: manipolazione DNS e HTTP
Gli hacker hanno manipolato il traffico DNS e HTTP su reti captive compromesse, reindirizzando gli utenti verso tre percorsi principali. Due di questi portavano a furto di credenziali: pagine di phishing che imitavano i portali di accesso a Microsoft 365 e pagine di phishing di codice dispositivo che sfruttavano i flussi di autenticazione Microsoft Entra ID.
Il terzo percorso mostrava pagine di aggiornamento falso per browser o sistema operativo, sfruttando la tecnica di ingegneria sociale ClickFix per convincere le vittime a scaricare ed eseguire malware. Microsoft ha anche rilevato configurazioni per il push di file APK, indicando possibili attacchi a dispositivi Android.
CornFlake: un RAT polifunzionale
CornFlake è un Remote Access Trojan (RAT) per Windows scritto in Go, con capacità avanzate tra cui:
- Keylogging
- Monitoraggio della clipboard
- Cattura di screenshot
- Sorveglianza audio e video
- Furto di credenziali del browser
- Esfiltramento di file
- Monitoraggio di unità USB
- Analisi della postura di sicurezza
- Accesso a shell remoto
All'avvio, CornFlake opera in modalità dropper, mostrando una finestra di progresso falsa per distrarre la vittima mentre il binario si copia in %APPDATA%\svchost32\svchost32.exe e stabilisce persistenza.
ChocoShell: il ladro di credenziali in memoria
ChocoShell è un malware in memoria che ruba credenziali da browser, password salvate, token Microsoft 365 e Azure AD, e credenziali Wi-Fi. Mentre CornFlake fornisce un punto d'appoggio persistente sul dispositivo, ChocoShell è progettato per estrarre le credenziali più preziose per l'operatore, dando accesso agli ambienti cloud delle vittime.
FruitStone: il pannello C2 web senza autenticazione
Microsoft ha scoperto FruitStone, un pannello di comando e controllo web utilizzato dagli operatori di Storm-2945 per gestire l'infrastruttura CaptiveCrunch. Costruito come un'applicazione HTML e JavaScript single-page senza alcuna autenticazione, offre:
- Un cruscotto per gestire endpoint compromessi
- Strumenti per costruire e distribuire nuovi payload
- Funzionalità per rivedere dati raccolti come screenshot, battiture e credenziali del browser
Consigli per la sicurezza
Microsoft raccomanda di trattare i Wi-Fi di hotel e conferenze come non attendibili, preferendo connessioni cellulari private o gestite dove possibile. Le organizzazioni dovrebbero:
- Rivedere le informazioni che i dipendenti forniscono ai fornitori di servizi di ospitalità
- Adottare controlli che limitano l'esposizione a manipolazione del traffico, furto di credenziali e phishing di codice dispositivo
La campagna CaptiveCrunch dimostra l'evoluzione delle tecniche di attacco, con un uso significativo di reti captive compromesse per ottenere accesso persistente e rubare credenziali sensibili. Le organizzazioni e gli utenti individuali devono rimanere vigili quando si connettono a reti Wi-Fi pubbliche, adottando misure di sicurezza appropriate per mitigare questi rischi.
Impatto strategico e vittime target
La campagna CaptiveCrunch non è casuale nelle sue scelte di bersaglio. Secondo le analisi di Microsoft, gli attacchi si sono concentrati su diplomatici europei, professionisti IT e dipendenti di aziende con accesso a informazioni sensibili. La scelta delle strutture alberghiere e dei centri congressi riflette un'attenzione particolare per gli eventi internazionali e le riunioni aziendali, dove la condivisione di informazioni riservate è più frequente.
Un aspetto preoccupante è la potenziale compromissione di interi ecosistemi di reti captive. Microsoft ha riscontrato somiglianze nei sistemi di gestione delle reti Wi-Fi in diverse località, suggerendo che gli attaccanti potrebbero aver ottenuto accesso a servizi condivisi all'interno di questo ecosistema. Questo implicherebbe un rischio sistemico per tutti gli utenti che si connettono a queste reti, indipendentemente dalla specifica struttura.
Evoluzione delle tecniche: l'uso dell'IA
L'analisi di Microsoft rivela che la campagna CaptiveCrunch mostra segni di assistenza da parte di strumenti di intelligenza artificiale. Questo emerge in particolare nell'ottimizzazione delle pagine di phishing e nella personalizzazione degli attacchi in base al profilo delle vittime. L'IA sarebbe stata impiegata per:
- Adattare dinamicamente i contenuti delle pagine di phishing in base al browser e al sistema operativo della vittima
- Analizzare i pattern di navigazione per identificare i momenti più propizi per l'attacco
- Generare codice malizioso personalizzato per specifici ambienti cloud
Questa integrazione tecnologica rappresenta un'evoluzione significativa rispetto alle campagne tradizionali, aumentando l'efficacia degli attacchi e riducendo il tempo di rilevamento.
Implicazioni per la sicurezza aziendale
Le organizzazioni colpite da CaptiveCrunch hanno affrontato conseguenze che vanno oltre il furto di credenziali. In diversi casi, gli attaccanti hanno utilizzato le credenziali rubate per ottenere accesso persistente agli ambienti cloud, implementando backdoor e mantenendo una presenza nascosta per mesi. Tra le attività osservate:
- Esfiltramento selettivo di documenti e dati sensibili
- Manipolazione di email aziendali per attacchi di business email compromise (BEC)
- Accesso a sistemi di controllo industriale (ICS) attraverso credenziali privilegiate
Microsoft sottolinea che molte organizzazioni non avevano implementato controlli di sicurezza adeguati per le reti di ospitalità, un'omissione che ha facilitato la propagazione degli attacchi.
FruttiStone: un pannello C2 senza difese
Il pannello FruitStone rappresenta una scelta tecnologica insolita e rischiosa per gli attaccanti. L'assenza di qualsiasi meccanismo di autenticazione lo rende vulnerabile a potenziali attacchi di tipo "man-in-the-middle" o accessi non autorizzati da parte di altri attori malintenzionati. Nonostante ciò, offre agli operatori capacità avanzate:
- Un cruscotto in tempo reale che mostra lo stato di tutti i dispositivi compromessi
- Strumenti per generare payload su misura per specifici obiettivi
- Funzionalità di analisi semantica per identificare informazioni sensibili nei dati esfiltrati
La struttura del pannello suggerisce una progettazione orientata alla rapidità operativa piuttosto che alla sicurezza, indicando una possibile fretta nell'implementazione della campagna.
Strategie di difesa avanzate
Oltre alle raccomandazioni iniziali, Microsoft ha sviluppato una serie di contromisure tecniche specifiche per mitigare i rischi associati a CaptiveCrunch:
- Implementazione di DNS over HTTPS (DoH) per prevenire la manipolazione del traffico DNS
- Configurazione di policy di accesso condizionale per limitare l'uso di credenziali sensibili su reti pubbliche
- Sviluppo di estensioni per browser che bloccano automaticamente le pagine di phishing note
- Monitoraggio avanzato delle attività di autenticazione per rilevare comportamenti anomali
Le organizzazioni sono inoltre invitate a condurre audit di sicurezza delle informazioni condivise con i fornitori di servizi di ospitalità, considerando che anche dettagli apparentemente innocui possono essere sfruttati per personalizzare gli attacchi.
Il futuro delle reti captive
L'indagine su CaptiveCrunch solleva questioni fondamentali sulla sicurezza delle reti Wi-Fi pubbliche. Microsoft suggerisce che l'industria dell'ospitalità potrebbe dover adottare standard di sicurezza più stringenti, tra cui:
- Implementazione di autenticazione a due fattori obbligatoria per l'accesso alle reti
- Segmentazione delle reti per separare gli utenti aziendali da quelli generici
- Monitoraggio continuo delle attività sospette sulle reti captive
- Collaborazione con i fornitori di servizi di sicurezza per implementare soluzioni protettive
La campagna dimostra come le infrastrutture di rete tradizionalmente considerate a basso rischio possano diventare vettori significativi per attacchi sofisticati, richiedendo un ripensamento completo delle strategie di sicurezza per gli utenti mobili.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.