Conectarse al WiFi del hotel durante un viaje de negocios parece inofensivo. Pero una campaña de ciberespionaje llamada CaptiveCrunch convierte ese momento rutinario en una trampa. Desde principios de mayo, un grupo vinculado al servicio de inteligencia ruso está secuestrando las páginas de inicio de sesión de redes WiFi en hoteles y centros de conferencias para robar credenciales e instalar malware.

¿Quién está detrás?

La investigación, publicada por Microsoft Threat Intelligence el 31 de julio, atribuye la operación a Storm-2945, un subgrupo de Midnight Blizzard (también conocido como APT29, Cozy Bear o los Dukes). Los gobiernos de Estados Unidos y Reino Unido han vinculado a Midnight Blizzard con el Servicio de Inteligencia Exterior de Rusia, el SVR.

Así funciona el ataque

Los atacantes no esperan a que el usuario visite un sitio web. En lugar de eso, responden a las comprobaciones automáticas de conectividad que los navegadores y sistemas operativos realizan al unirse a una nueva red. Esas comprobaciones devuelven páginas que ofrecen falsas actualizaciones del navegador o del sistema.

Las páginas utilizan técnicas ClickFix: muestran errores de verificación falsos e instruyen al usuario a copiar y pegar comandos. Algunas también sirven un archivo APK, lo que indica que también atacan dispositivos Android. A partir del 16 de julio, algunas páginas redirigían a los usuarios a flujos de autenticación con código de dispositivo, pidiéndoles que introdujeran un código proporcionado por el atacante en una página legítima de inicio de sesión de Microsoft. Microsoft señala que la técnica no es nueva, pero incrustarla en un portal cautivo hace que la solicitud parezca más legítima.

La empresa de seguridad ReliaQuest, que reportó parte de la actividad el 23 de julio, encontró estos ataques en hoteles, centros de conferencias y otros lugares compartidos, dirigidos a cuentas de viajeros corporativos.

Las herramientas del espionaje

La campaña despliega tres tipos de malware, todos con una misma coartada: parecer actualizaciones legítimas.

  • CornFlake: un troyano de acceso remoto (RAT) escrito en Go. Muestra una ventana de progreso falsa mientras se instala y luego se registra como un servicio de Windows con el nombre «Cloud Sync Service». Permite capturar teclas, hacer capturas de pantalla, grabar micrófono y webcam, robar credenciales del navegador y ejecutar un shell remoto.

  • ChocoShell: un ladrón de información basado en PowerShell que se ejecuta completamente en memoria. Desactiva la Interfaz de Análisis Antimalware (AMSI) antes de extraer cookies del navegador, contraseñas guardadas, tokens de inicio de sesión único de Microsoft 365 y credenciales WiFi.

Los comentarios de su desarrollador mencionan firmas de detección específicas de Microsoft y explican cada elección de evasión. Según Microsoft, esto sugiere que el código fue generado con ayuda de inteligencia artificial. La compañía afirma que el actor utilizó IA en una parte significativa de la operación y agradeció a Anthropic y OpenAI por su apoyo durante la investigación.

  • FruitStone: un panel web que los operadores utilizan para gestionar la campaña, diseñado como un producto de nube empresarial ficticio.

Cómo protegerte

Microsoft aún investiga cómo fueron comprometidos los portales, pero encontró similitudes en los equipos y sistemas de gestión de las redes afectadas, lo que sugiere un acceso a través de servicios compartidos. Las recomendaciones de Microsoft y Malwarebytes son claras: trata las redes WiFi de hoteles, conferencias y aeropuertos como no confiables; prefiere tu conexión de datos móviles o una eSIM; nunca instales software, certificados o actualizaciones que te pida un portal cautivo; si usas WiFi público, activa una VPN con Kill Switch tras autenticarte; inspecciona los certificados de seguridad; no introduzcas credenciales de alto valor en páginas alcanzadas mediante redirecciones; y actualiza tus dispositivos antes de viajar.

Microsoft también recomienda bloquear el flujo de código de dispositivo cuando no sea necesario y desplegar claves de acceso (passkeys) como método de autenticación más seguro. La campaña CaptiveCrunch, activa desde principios de mayo, demuestra cómo los ciberdelincuentes han perfeccionado el arte de esconderse en el momento más vulnerable del viajero: cuando solo quiere conectarse a internet.