Midnight Blizzard abusa de los portales cautivos de Wi-Fi del hotel para entregar malware y robar credenciales

Los viajeros que se conectan al wifi del hotel ahora pueden enfrentarse a algo más que una señal de internet poco fiable. Una campaña vinculada a Midnight Blizzard ha convertido los portales cautivos, las páginas de inicio de sesión que se muestran antes del acceso en línea, en una ruta para el malware, el robo de credenciales y el posible acceso a cuentas corporativas.

La operación, conocida como CaptiveCrunch, ha afectado a las redes relacionadas con la hospitalidad y otros lugares que utilizan equipos de portales cautivos en varios países. Los analistas de Microsoft identificaron la actividad como el trabajo de Storm-2945, un subgrupo operativo de Midnight Blizzard. Midnight Blizzard abusa de los portales cautivos de Wi-Fi del hotel CaptiveCrunch comienza cuando los atacantes manipulan el tráfico DNS y HTTP en las redes de invitados afectadas, redirigiendo a los usuarios a través de la infraestructura que controlan. Se le puede pedir a un usuario que introduzca un código de dispositivo en una página de inicio de sesión real, pero el código autoriza la sesión del atacante, una evolución de las operaciones anteriores de robo de credenciales de Teams asociadas con Midnight Blizzard.

Malware, robo de credenciales y defensa ChocoShell, un infostealer de PowerShell en memoria, se centra en las cookies del navegador, las contraseñas guardadas, los tokens de inicio de sesión único de Microsoft 365 y las credenciales Wi-Fi almacenadas. Integre el Sandbox de ANYRUN en su SOC Los portales cautivos de Wi-Fi del hotel después de Midnight Blizzard para entregar malware y robar credenciales aparecieron primero en Cyber Security News.

Consultar publicación original ↗