¿Te conectas al Wi-Fi del hotel cuando viajas por trabajo? Puede que estés entregando tus credenciales corporativas a un grupo de ciberespionaje ruso sin ni siquiera hacer clic en un enlace sospechoso. Una campaña masiva de DNS poisoning está comprometiendo las redes de hoteles, centros de conferencias y otros lugares públicos en todo el mundo, y tanto Microsoft como los investigadores de ReliaQuest han lanzado alertas urgentes.

El ataque invisible: cómo funciona el DNS poisoning

La campaña, identificada por ReliaQuest y confirmada posteriormente por Microsoft, no necesita que la víctima descargue un archivo malicioso o haga clic en un phishing. Los atacantes obtienen acceso inicial a los routers de las redes Wi-Fi explotando interfaces de gestión expuestas —como SSH, SNMP o consolas de administración web— o aprovechando credenciales de administrador débiles o reutilizadas.

Una vez dentro, modifican la configuración del router y aplican DNS poisoning. Esto redirige el tráfico web legítimo hacia infraestructura controlada por los atacantes sin que el usuario note nada extraño. La víctima sigue navegando con normalidad mientras los atacantes capturan sus nombres de usuario, contraseñas y otra información sensible.

CaptiveCrunch: el nombre del ataque

Microsoft ha bautizado esta operación como CaptiveCrunch y la atribuye a Storm-2945, un subgrupo del conocido colectivo ruso Midnight Blizzard (también vinculado al GRU). La actividad, según la compañía, comenzó a principios de mayo y afecta a redes de hoteles y otros portales cautivos a nivel mundial. Los routers comprometidos se han detectado en múltiples ciudades de Estados Unidos, India y Arabia Saudita.

El nivel de sofisticación es alto. Microsoft confirmó que Storm-2945 utilizó inteligencia artificial para apoyar la campaña, y agradeció la colaboración de Anthropic y OpenAI durante la investigación.

No solo robo de credenciales: también malware

Mientras que el informe inicial de ReliaQuest se centraba en el robo de credenciales de Microsoft 365, Microsoft ha ido un paso más allá: la campaña también puede instalar malware directamente en los dispositivos de las víctimas.

Microsoft ha identificado un troyano de acceso remoto (RAT) para Windows al que llama CornFlake. Este malware es capaz de robar credenciales y tokens de sesión, registrar pulsaciones de teclado, capturar archivos y hacer capturas de pantalla. Pero lo más alarmante es que también puede secuestrar el audio y el vídeo del dispositivo para espiar a la víctima, y otorgar a los atacantes acceso persistente al sistema.

Algunos usuarios son redirigidos a páginas de inicio de sesión falsas que imitan a Microsoft, o a falsas actualizaciones de Windows que en realidad descargan el RAT. La decepción es difícil de detectar porque estas páginas aparecen mientras el usuario se conecta a través de la puerta de enlace legítima del hotel.

Además, los atacantes también podrían estar apuntando a dispositivos Android, ya que Microsoft ha visto indicios de que se está utilizando una técnica similar para que los usuarios descarguen e instalen un archivo APK malicioso.

Cómo protegerte: el consejo de Microsoft

La advertencia de Microsoft es tajante: «Las organizaciones deberían asumir que la infraestructura de redes públicas y de hostelería podría no ser confiable». La compañía recomienda a los viajeros de negocios que traten cualquier red de hotel, aeropuerto o centro de conferencias como no segura.

Las recomendaciones concretas incluyen:

  • Usar siempre una VPN corporativa con configuración de túnel completo para que todas las solicitudes DNS se enruten a través de resolutores corporativos de confianza.
  • Utilizar un hotspot móvil o la conexión de datos del móvil en lugar de conectarse a la red Wi-Fi pública.
  • Evitar realizar actualizaciones de software a través de portales cautivos.
  • Fortalecer la autenticación multifactor (MFA) y bloquear el flujo de autenticación mediante código de dispositivo cuando no sea necesario.
  • Verificar siempre la URL y el certificado de cualquier página que solicite credenciales antes de introducirlas.

La campaña CaptiveCrunch sigue activa y en evolución. La mejor defensa, como recuerdan los expertos, es asumir que cualquier red que no controlas directamente puede estar comprometida.