Hotel Wi‑Fi trasformato in canale per malware e sessioni MFA
Chi controlla il captive portal di un hotel controlla anche il punto in cui un dispositivo decide in cosa fidarsi. Basta dirottare quel passaggio per spingerlo verso un finto update o verso un flusso Microsoft legittimo, e ottenere malware di sorveglianza o una sessione già passata da MFA senza toccare una falla di browser o sistema operativo.
Microsoft collega l’operazione CaptiveCrunch a Storm-2945 e la osserva da inizio maggio su reti alberghiere in più paesi. Le landing page passano da falsi browser update al device-code flow di Microsoft dal 16 luglio; sul fronte payload, CornFlake RAT può catturare webcam, audio, tasti, cookie, password salvate e token cloud, oltre a mantenere persistenza.
Per i team con personale in viaggio, il problema non è solo il laptop infetto: è l’accesso cloud ottenuto attraverso una rete che si presenta come normale e una sessione che risulta già autenticata. Password hygiene e warning del browser non bastano se la rete stessa decide dove mandare il traffico.