Il Wi-Fi dell’hotel offre un aggiornamento: è spionaggio russo

Dai primi giorni di maggio Microsoft Threat Intelligence segue una campagna che manipola il traffico DNS e HTTP delle reti Wi-Fi servite da portali captive, quelle di hotel e centri congressi a cui i viaggiatori d’affari si collegano di passaggio, per dirottare gli ospiti verso pagine di accesso contraffatte e falsi aggiornamenti software. L’azienda la chiama CaptiveCrunch e la attribuisce a Storm-2945, sotto-gruppo operativo di Midnight Blizzard, l’attore che Stati Uniti e Regno Unito riconducono all’SVR, il servizio di intelligence estera della Federazione Russa. Le compromissioni riguardano reti di pi� Paesi, che Microsoft non elenca, e un numero di sedi, organizzazioni e persone colpite che il rapporto non quantifica.

Le operazioni di phishing su codici device e OAuth del gruppo vanno avanti da febbraio, con l’IA a sostenere una porzione significativa del lavoro secondo la ricostruzione di Microsoft. Chi si collega a una delle reti compromesse viene instradato attraverso infrastruttura controllata dall’attore: una parte del traffico finisce su domini sosia che imitano i servizi online Microsoft, allestiti per un attacco adversary-in-the-middle che abusa del flusso di autenticazione device code di Microsoft Entra ID. L’esito � la registrazione di un dispositivo dell’attaccante in Entra e la successiva raccolta di dati da Microsoft 365; questa porzione della campagna era gi� stata ricostruita da ReliaQuest il 23 luglio, e Microsoft la cita nel proprio rapporto.

Il malware arriva invece agganciato a un dettaglio che nessuno guarda: i controlli di connettivit� automatici che il browser esegue per capire se la rete richiede un accesso. La risposta a questi controlli � una pagina di aggiornamento fasulla, del browser o del sistema operativo, con un prompt ClickFix che guida l’utente a scaricare ed eseguire il file a mano; se la finta verifica fallisce, il sito serve un secondo prompt con istruzioni aggiuntive. Fra le pagine analizzate compaiono anche istruzioni per Android, con il download e l’installazione di un file APK, indizio che il bersaglio potrebbe non fermarsi a Windows.

Il sospetto sull’infrastruttura condivisa

Il vettore iniziale con cui i portali captive sono stati compromessi resta oggetto di indagine. Microsoft segnala per� ricorrenze notevoli negli apparati e nei sistemi di gestione delle reti colpite, e ne trae un’ipotesi che allarga di molto il problema: l’attivit� potrebbe non consistere in compromissioni isolate di singole strutture, e riflettere invece un accesso a servizi condivisi all’interno di porzioni dell’ecosistema dei portali captive. Sarebbe la differenza fra decine di alberghi bucati uno per uno e un fornitore comune compromesso una volta sola.

Il perimetro geografico documentato viene soprattutto da ReliaQuest, che ha trovato gateway di portali captive compromessi in pi� citt� statunitensi, in India e in Arabia Saudita, in prevalenza presso hotel ma anche in centri congressi e altre sedi condivise. Il traffico osservato proveniva da organizzazioni di servizi finanziari, servizi professionali, ambito legale, sanit�, energia e commercio al dettaglio. La lettura che ne d� la societ� di sicurezza � che il bersaglio siano i dipendenti in trasferta in quanto tali, senza un settore privilegiato.

L’attribuzione a Storm-2945 poggia su sovrapposizioni tecniche e operative con Storm-2372, il sotto-gruppo di Midnight Blizzard che per tutto il 2025 ha condotto phishing su codici device e OAuth: esfiltrazione della posta via Microsoft Graph, ingegneria sociale veicolata da app di messaggistica commerciali e una vittimologia molto simile. Alcune tattiche e procedure somigliano anche all’operazione di DNS hijacking di Forest Blizzard resa pubblica nell’aprile 2026, e Microsoft tiene comunque separate le due cose, riconducendo CaptiveCrunch a Storm-2945. Midnight Blizzard, noto anche come APT29 e in passato tracciato da Microsoft con il nome NOBELIUM, colpisce in via prioritaria governi, entit� diplomatiche, organizzazioni non governative e fornitori di servizi IT fra Stati Uniti ed Europa.

CornFlake e ChocoShell

CornFlake � il trojan di accesso remoto scritto in Go che fa da impianto persistente principale, e Microsoft dice di aver visto l’attore iterare rapidamente su questo strato. Alla prima esecuzione lavora in modalit� dropper: mostra una finta finestra di avanzamento che tiene occupata l’attenzione della vittima mentre il binario si copia in %APPDATA%\svchost32\svchost32.exe e si insedia. La finestra � configurabile in fase di build fra otto varianti, dallo schermo di Windows Update con il messaggio “Working on updates� Don’t turn off your computer” alla scansione antivirus di Windows Security, dal runtime DirectX al redistributable Visual C++, fino all’utility di ottimizzazione del disco, alla diagnostica di rete, al prompt di aggiornamento del browser e all’installer di un visualizzatore di documenti.

La persistenza � ridondante per costruzione: registrazione come servizio Windows di nome svchost32, con nome visualizzato “Cloud Sync Service” e descrizione “Synchronizes files with the cloud storage provider”, pi� chiavi Run di registro, attivit� pianificate e una routine watchdog che gira di continuo e ripristina qualunque meccanismo un difensore o un prodotto di sicurezza rimuova. Il canale verso il server di comando e controllo si apre con uno scambio di chiavi ECDH effimero su curva P-256, chiave di sessione derivata via SHA-256 e un protocollo JSON proprietario incapsulato nel canale cifrato: ogni sessione usa una chiave diversa, quindi il traffico catturato resta indecifrabile senza la chiave privata di quella specifica sessione. Un file di configurazione a runtime, sync.dat, consente di cambiare a caldo server C2, cartelle sorvegliate, schemi dei file da prelevare e impostazioni TLS senza ridistribuire il binario.

Le capacit� di raccolta si attivano selettivamente dopo il rilascio, tramite flag di configurazione: keylogger basato sulle API di input grezzo che cattura ogni battuta comprese quelle nei campi password, monitoraggio degli appunti con registrazione del titolo della finestra attiva, screenshot su inattivit� o a richiesta, cattura del microfono via WASAPI e della webcam via Media Foundation. Sul fronte credenziali c’� un modulo derivato da ChromeKatz che estrae i cookie vivi dalla memoria dei processi dei browser Chromium e le password salvate dai database su disco, con aggiramento della App-Bound Encryption di Chrome e decifratura NSS/SDR di Firefox. Completano il quadro l’esfiltrazione di file per categorie di estensione con monitoraggio del file system in tempo reale e un freno a mille file o 500 MB per ciclo, la scansione dei supporti rimovibili all’inserimento, una ricognizione su 18 categorie di informazioni dell’host che comprende antivirus ed EDR installati, esclusioni di Defender, livello di UAC, cronologia RDP e file recenti di Office, e una shell remota su cmd.exe o PowerShell.

ChocoShell copre il ruolo complementare: infostealer in PowerShell eseguito interamente in memoria, punta al furto in volume di cookie di sessione, password salvate, token di single sign-on di Microsoft 365 e credenziali Wi-Fi. All’avvio disattiva AMSI tramite reflection .NET per impedire la scansione degli script, aggira le rilevazioni comportamentali di Microsoft che scattano sui cmdlet PowerShell di richiesta web e verifica con un controllo temporale di non trovarsi in una macchina virtuale, uscendo in silenzio senza raccogliere nulla in caso di sospetto. Il dialogo con il C2 fisso all’indirizzo 213.145.86[.]112 viaggia in HTTPS su percorsi pensati per confondersi con traffico legittimo: i beacon partono su un percorso del tipo /t/pixel.gif con lo stato passato in parametro, travestiti da pixel di tracciamento, mentre gli strumenti aggiuntivi vengono scaricati da un percorso che finge di essere un file polyfill minificato di una rete di distribuzione contenuti. I due impianti lavorano insieme anche a livello di macchina, perch� CornFlake espone in locale un piccolo server HTTP con endpoint /upload, /reload e /status da cui un payload compagno pu� far partire esfiltrazioni, ricaricare la configurazione o verificare il canale C2 gi� stabilito.

L’ipotesi dell’IA nel codice

Lo script di ChocoShell arriva con i commenti dello sviluppatore al loro posto, che spiegano l’intento dietro ogni scelta di codice e citano esplicitamente firme di rilevazione Microsoft e le ragioni delle singole tecniche di evasione. Lo standard di scrittura uniforme e la commentazione descrittiva portano Microsoft a ipotizzare che l’autore si sia fatto aiutare da un generatore di codice basato su IA. Sul piano pi� ampio l’azienda dichiara di aver osservato Storm-2945 usare l’IA a supporto di una porzione significativa di queste operazioni, e ringrazia nel rapporto i colleghi di Anthropic e OpenAI per la collaborazione durante l’indagine. Nell’analisi compare anche FruitStone, il pannello di gestione via web con cui l’attore amministra i sistemi infetti, sfoglia i file delle vittime, esegue comandi PowerShell e cattura schermate e battute di tastiera, trovato privo di protezioni all’accesso.

Le contromisure indicate da Microsoft stanno tutte a monte del comportamento di chi viaggia: trattare il Wi-Fi di hotel e conferenze come rete non fidata, preferire dove possibile la connettivit� cellulare privata o una connessione gestita, e non installare aggiornamenti o strumenti proposti da un portale captive. Sul lato identit� la lista � quella nota: autenticazione a pi� fattori resistente al phishing con passkey, disattivazione dell’autenticazione device code di Entra dove non serve, e nessuna credenziale aziendale usata per registrarsi alla rete ospiti di un albergo. Il rapporto include anche indicazioni di rilevazione e di caccia alle minacce per chi deve cercare tracce di CornFlake e ChocoShell nella propria rete.