Hackers exploram Wi‑Fi de hotéis para instalar malware e espionar hóspedes
Pesquisadores da Microsoft identificaram uma campanha sofisticada que transforma redes Wi‑Fi de hotéis em ferramenta de espionagem digital. Criminosos estão comprometendo a infraestrutura que controla o acesso à internet nesses ambientes para distribuir supostas atualizações de navegador e de sistema operacional. Essas “atualizações” são, na verdade, o veículo para instalação do malware CornFlake, capaz de monitorar em detalhe a atividade do usuário.
O CornFlake foi projetado para espionar a vítima em múltiplas frentes: ele pode capturar imagens pela webcam, gravar áudio do microfone, registrar tudo o que é digitado no teclado e roubar credenciais de acesso a serviços on-line. Na prática, transforma o computador comprometido em um dispositivo de vigilância controlado remotamente pelos invasores.
Essa operação recebeu o codinome CaptiveCrunch e é atribuída pela Microsoft ao grupo Storm‑2945, considerado um subgrupo operacional do coletivo de ameaças conhecido como Midnight Blizzard, APT29 ou Cozy Bear. Autoridades dos Estados Unidos e do Reino Unido associam o APT29 ao Serviço de Inteligência Estrangeira da Rússia (SVR). No entanto, a ligação específica entre CaptiveCrunch e Storm‑2945 é, até o momento, uma avaliação própria da Microsoft e ainda não foi confirmada por outras fontes independentes.
Como o Wi‑Fi do hotel é usado no ataque
De acordo com a investigação, os criminosos conseguiram tomar o controle do gateway responsável pelo portal cativo das redes Wi‑Fi de hotéis – aquela tela em que o hóspede precisa se autenticar, aceitar termos de uso ou inserir um código de acesso antes de navegar. Nos ambientes analisados pela ReliaQuest, esse mesmo equipamento também funcionava como servidor DNS para todos os dispositivos conectados.
Tendo acesso administrativo a esse gateway, os invasores passaram a falsificar respostas DNS, técnica conhecida como DNS spoofing ou envenenamento de DNS. Assim, redirecionavam automaticamente certos acessos feitos pelos sistemas operacionais – especialmente as verificações de conectividade com a internet – para páginas maliciosas que imitavam sites legítimos de atualização de navegadores ou do próprio sistema.
Essas páginas falsas convenciam o usuário de que era necessário atualizar o software para continuar navegando com segurança ou manter o acesso ao Wi‑Fi. Em vez de um update legítimo, o que era baixado ou executado era o malware CornFlake ou outros componentes da campanha.
Engenharia social e a técnica “ClickFix”
Em alguns cenários, os criminosos foram além das falsas atualizações e utilizaram uma estratégia conhecida como ClickFix. Nessa abordagem, a página maliciosa apresenta instruções passo a passo orientando o usuário a abrir o Prompt de Comando, o PowerShell ou outro utilitário do Windows e colar comandos fornecidos pelos atacantes.
Ou seja, a infecção não é totalmente automática: é preciso que a vítima siga as orientações manuais, copiando e executando o código que, na prática, dá controle do sistema ao invasor. A força desse método está na engenharia social: o usuário acredita estar resolvendo um “problema técnico” indicado pelo sistema ou pelo hotel, quando na verdade está ativando o malware.
Escala da campanha e uso do fluxo de código de dispositivo
A Microsoft afirma observar esse tipo de manipulação de tráfego desde o início de maio, afetando redes de hospitalidade em diversos países. Não foram revelados, porém, os nomes de hotéis, fornecedores de portais cativos ou outras empresas envolvidas, o que indica a sensibilidade do caso e a possibilidade de ainda existirem ambientes desprotegidos.
A partir de 16 de julho, parte da campanha passou a explorar também o fluxo legítimo de autenticação por código de dispositivo da Microsoft. Funciona assim: o usuário é redirecionado para a página oficial de login da empresa e recebe um código, supostamente para autorizar o acesso do dispositivo. Ao inserir o código fornecido pelos criminosos, a vítima não percebe que está, na prática, aprovando uma sessão controlada pelos invasores – inclusive se já tiver autenticação multifator (MFA) configurada e validada.
Isso torna o ataque ainda mais perigoso, porque se apoia em uma página legítima e em um mecanismo real de autenticação, o que reduz a desconfiança dos usuários mais atentos.
Como medida de mitigação, a Microsoft recomenda que organizações desativem esse método de autenticação por meio de políticas de Acesso Condicional sempre que ele não for estritamente necessário em seu ambiente.
O que o malware CornFlake faz depois da infecção
Uma vez executado, o CornFlake se copia para o diretório:
`%APPDATA%svchost32svchost32.exe`
Em seguida, registra um serviço chamado “Cloud Sync Service” para se parecer com um componente legítimo do sistema e exibe uma janela falsa de progresso, simulando o andamento de uma atualização. Esse artifício serve para distrair a vítima e evitar que ela desconfie do que está acontecendo em segundo plano.
A análise da Microsoft mostra que o CornFlake possui um conjunto amplo de funcionalidades:
– captura telas (screenshots), especialmente quando o computador está ocioso;
– registra o conteúdo da área de transferência e o título da janela ativa no momento da cópia;
– rouba cookies e senhas salvas em navegadores, inclusive cookies protegidos pelo mecanismo Chrome App‑Bound Encryption;
– inspeciona dispositivos removíveis conectados ao computador;
– abre um shell remoto, permitindo que o invasor execute comandos e controle o sistema à distância.
Para se manter ativo, o malware cria mecanismos de persistência por meio de uma chave Run no Registro do Windows e de uma tarefa agendada. Há ainda um componente adicional encarregado de monitorar esses pontos de persistência. Caso uma solução de segurança os apague, o próprio malware trata de recriá‑los, dificultando a remoção completa da ameaça.
ChocoShell: roubo de tokens e sessões corporativas
Os pesquisadores também identificaram outro componente usado na mesma campanha, chamado ChocoShell. Diferente do CornFlake, ele é um ladrão de credenciais baseado em PowerShell que roda apenas em memória, sem se instalar de forma tradicional no disco. Isso torna sua detecção mais complexa por ferramentas de segurança que focam em arquivos.
O ChocoShell coleta tokens de acesso e de atualização de serviços como Microsoft 365 e Azure Active Directory, além de tokens gerenciados pelo Windows Web Account Manager (WAM), que ficam armazenados em cache no Token Broker. Com esses tokens, os invasores podem reaproveitar sessões autenticadas sem depender dos cookies do navegador, ampliando a chance de acesso a contas corporativas e dados sensíveis, mesmo em ambientes que utilizam MFA.
Dimensão do impacto: o que ainda não se sabe
Apesar de os relatórios confirmarem o redirecionamento de tráfego nas redes Wi‑Fi e a distribuição de malware, ainda não há dados públicos sobre o número de usuários efetivamente comprometidos. Não foram divulgadas estatísticas de dispositivos infectados, quantas vezes o fluxo de código de dispositivo foi aprovado pelas vítimas ou quantas contas corporativas foram acessadas de forma indevida.
A Microsoft observou, contudo, que diferentes redes impactadas compartilhavam equipamentos e sistemas de gerenciamento semelhantes. Isso sugere que o problema pode estar relacionado a provedores ou serviços comuns na cadeia de portais cativos, em vez de ser uma sucessão de incidentes isolados em hotéis específicos. Em outras palavras, vulnerabilidades em plataformas usadas por vários estabelecimentos podem ter sido exploradas de maneira coordenada.
A ReliaQuest havia mapeado uma infraestrutura parecida oito dias antes da divulgação da Microsoft e notou semelhanças entre as técnicas empregadas nessa campanha e as usadas pelo grupo APT28 (Fancy Bear/Forest Blizzard). Ainda assim, a empresa optou por não atribuir oficialmente essa operação ao grupo, alegando que, até agora, as evidências se baseiam principalmente em sobreposição de táticas, técnicas e procedimentos, o que não é suficiente para uma conclusão definitiva.
O vetor inicial usado para comprometer os equipamentos de rede continua em investigação. A avaliação preliminar da ReliaQuest, com baixa a média confiança, aponta para a possibilidade de interfaces administrativas expostas à internet, senhas fracas ou reutilizadas, falhas de configuração e vulnerabilidades conhecidas sem correção em gateways e controladores de portal cativo.
—
Como o hóspede pode se proteger ao usar Wi‑Fi de hotel
Diante desse cenário, a pergunta inevitável é: o que o usuário comum pode fazer para reduzir o risco ao se conectar em redes de hotéis?
Algumas medidas práticas ajudam bastante:
1. Evite instalar “atualizações” oferecidas pelo Wi‑Fi
Se uma página surgindo logo após a conexão pedir para atualizar navegador, plugin ou sistema, desconfie. Atualizações devem ser feitas diretamente pelas configurações do sistema ou da loja oficial (como Microsoft Store), não por pop‑ups de portais de Wi‑Fi.
2. Nunca copie comandos no Prompt ou PowerShell a pedido de uma página web
Instruções que mandam abrir o Prompt de Comando, PowerShell ou Terminal e colar linhas de código são um forte indício de golpe. Sites legítimos quase nunca orientam o usuário leigo a fazer isso, especialmente em redes públicas.
3. Use VPN sempre que possível
Uma rede privada virtual (VPN) cifra o tráfego entre seu dispositivo e o servidor da VPN, reduzindo a visão que o hotel (ou um invasor no hotel) tem do que você faz on‑line. Isso não impede todos os tipos de ataque, mas dificulta bastante a interceptação de dados.
4. Evite acessar sistemas críticos em redes abertas
Sempre que puder, deixe para acessar internet banking, painel de e‑mail corporativo ou sistemas sensíveis quando estiver em uma rede confiável, como a de casa ou da empresa. Caso seja inevitável, garanta que está usando MFA e verifique o endereço do site antes de digitar credenciais.
5. Prefira o 4G/5G para tarefas sensíveis
Em viagens, usar o plano de dados do celular para operações críticas (como banco ou acesso a sistemas internos) é bem mais seguro do que depender de Wi‑Fi público. Se necessário, use o smartphone como hotspot para o notebook.
6. Mantenha sistema e antivírus atualizados
Atualizações periódicas corrigem brechas que podem ser exploradas em campanhas como a descrita. Uma suíte de segurança atualizada pode bloquear a execução de scripts suspeitos, detectar comportamento anômalo e impedir a instalação de malwares conhecidos.
—
Sinais de que algo pode estar errado na rede do hotel
Usuários mais atentos podem perceber algumas pistas de que a rede do hotel está comprometida:
– páginas estranhas surgindo assim que a conexão é estabelecida, pedindo atualização de sistema ou navegador;
– mensagens em português mal escrito, termos técnicos confusos ou design muito diferente do padrão de grandes empresas de tecnologia;
– pedidos insistentes para inserir códigos de autenticação ou aprovar acessos que você não iniciou;
– janelas de “atualização” que aparecem mesmo que você tenha acabado de atualizar o sistema por conta própria.
Se algo parecer fora do normal, o ideal é desconectar‑se do Wi‑Fi, fechar o navegador e, se possível, usar a internet móvel até ter certeza de que não há risco. Se você chegou a baixar algum arquivo ou executar comandos suspeitos, vale a pena:
– rodar uma varredura completa com o antivírus;
– mudar senhas de contas importantes a partir de um dispositivo confiável;
– revisar acessos recentes às suas contas (por exemplo, logins feitos de locais ou dispositivos incomuns).
—
Recomendações para hotéis e gestores de redes de hospitalidade
Para o setor de hotelaria, o caso Evidencia a necessidade de tratar a rede de hóspedes como uma infraestrutura crítica de segurança, e não apenas como um “serviço de cortesia”.
Algumas boas práticas incluem:
– manter gateways, roteadores e controladores de portal cativo sempre atualizados com os últimos patches de segurança;
– restringir ao máximo o acesso às interfaces de administração (por exemplo, limitar por IP, exigir VPN administrativa, usar autenticação multifator forte);
– adotar senhas complexas, únicas e com rotação periódica para contas de administrador;
– segmentar redes (separar rede de hóspedes, rede administrativa, sistemas internos e dispositivos IoT);
– monitorar logs de DNS e de autenticação em busca de comportamentos anômalos, como redirecionamentos inesperados para domínios desconhecidos;
– realizar auditorias periódicas, testes de intrusão e avaliações de segurança com especialistas independentes.
Treinar equipes de TI e staff do hotel também é importante: se um hóspede reportar páginas suspeitas na rede Wi‑Fi, esse alerta deve ser levado a sério e investigado rapidamente.
—
Impacto para empresas com funcionários em viagem
Para organizações que têm colaboradores viajando com frequência – executivos, equipes comerciais, consultores, jornalistas – o risco é ainda maior. Um notebook corporativo comprometido em um hotel pode servir de porta de entrada para toda a rede da empresa, especialmente se houver acesso a e‑mail corporativo, VPN interna, sistemas de gestão e repositórios de código.
Algumas ações recomendadas:
– fornecer orientações claras de uso seguro de Wi‑Fi público e políticas específicas para viagens;
– exigir VPN corporativa para qualquer conexão a recursos internos a partir de redes externas;
– considerar o uso de notebooks com proteção adicional (criptografia de disco, solução EDR, controle de dispositivos USB, restrições de instalação);
– monitorar logins suspeitos em contas de Microsoft 365, Azure AD e outros serviços em nuvem, acionando mecanismos de resposta automática quando forem detectadas anomalias.
—
Por que campanhas em hotéis são tão atrativas para grupos avançados
Grupos de ameaça avançada (APT) enxergam hotéis como alvos estratégicos porque esses ambientes concentram perfis de alto valor: executivos, diplomatas, jornalistas, pesquisadores e profissionais que lidam com informações sensíveis. Além disso:
– há grande rotatividade de usuários, o que aumenta o número potencial de vítimas;
– muitos viajantes relaxam seus padrões de segurança em deslocamento;
– redes de hotéis, em geral, são administradas por terceiros e podem ter múltiplos pontos frágeis na cadeia de tecnologia.
Ao comprometer a infraestrutura de um portal cativo, o invasor ganha um ponto de observação privilegiado e a capacidade de lançar ataques altamente direcionados com aparência de legitimidade.
—
No fim, a principal lição dessa campanha é clara: Wi‑Fi de hotel não deve ser tratado como um ambiente neutro e confiável. Ele precisa ser encarado como uma rede potencialmente hostil, na qual o usuário deve redobrar cuidados, e os gestores precisam investir de forma séria em segurança, monitoramento e atualização de suas infraestruturas.