Una nueva campaña vincula una infraestructura de Wi‑Fi con portal cautivo con intentos de acceso no autorizado, con un objetivo claro: el robo de credenciales. Según reportes de Microsoft, el caso afecta especialmente a empleados que se conectan mientras viajan o trabajan desde entornos compartidos, donde los usuarios suelen autenticar su acceso a la red a través de páginas de inicio.
El seguimiento técnico comenzó cuando un equipo de investigación detectó cambios en la configuración DNS de routers comprometidos. A partir de ahí, la cadena de ataque se conectó con una operación más amplia, denominada CaptiveCrunch, asociada a un grupo vinculado a actores patrocinados por el Estado ruso.
Cómo funciona el robo de credenciales en Wi‑Fi cautivo
El patrón descrito combina manipulación del tráfico y técnicas para interceptar lo que los usuarios envían durante el proceso de conexión. En entornos de portal cautivo —como hoteles, centros de conferencias u otros espacios con Wi‑Fi compartida— el usuario normalmente interactúa con una pantalla que controla la autenticación de la red.
En este caso, los atacantes alteraron configuraciones DNS en equipos de acceso comprometidos (principalmente dispositivos de tipo SOHO). El resultado práctico fue redirigir a los usuarios hacia infraestructura controlada por el adversario, antes de que el tráfico alcanzara su destino legítimo.
Además, el reporte indica el uso de un enfoque de intermediario entre las partes (AitM, por sus siglas en inglés). Esta técnica facilita capturar o influir en la información que se transmite, lo que puede incluir el robo de credenciales durante inicios de sesión, en particular en cuentas y servicios asociados con Microsoft 365.
Qué sectores y perfiles se vieron más expuestos
Los indicios apuntan a campañas dirigidas a organizaciones donde viajaban empleados, con foco en sectores como servicios financieros, servicios profesionales, sector legal, salud, energía y retail. La lógica detrás de ese enfoque encaja con el contexto: quienes viajan y dependen de Wi‑Fi de terceros tienden a interactuar con portales cautivos con más frecuencia.
Microsoft señala que, a la fecha de la detección, se identificó compromiso “generalizado” de redes Wi‑Fi en organizaciones relacionadas con la hospitalidad y en otras redes que operaban con equipos de portal cautivo, en varios países.
De la manipulación DNS al acceso con Microsoft 365
La cadena de ataque, según la información compartida, comenzó con la modificación de DNS y la manipulación del tráfico web desde el ecosistema del portal cautivo. Estos cambios se habrían iniciado alrededor de mayo, posiblemente mediante el acceso a componentes compartidos dentro de la infraestructura de ese tipo de servicios.
Una vez que el flujo del usuario quedaba bajo control del atacante, la campaña se orientaba a interceptar la autenticación. El objetivo no era solo “enganchar” al usuario en el portal de Wi‑Fi, sino aprovechar ese momento para capturar credenciales asociadas a la sesión y reducir la barrera de entrada para el acceso posterior.
Señuelos de descarga y troyanos para ampliar el impacto
CaptiveCrunch no se limitó a interceptar credenciales. El reporte describe que, como parte de la campaña, se entregaron RATs (troyanos de acceso remoto) basados en Windows y desarrollados en Go. En la práctica, se presentaban en forma de actualizaciones del navegador, un señuelo que busca que el usuario confíe y ejecute lo que ve en pantalla.
Los componentes maliciosos permitían tareas de reconocimiento y recolección de información, como robo de credenciales y tokens de sesión, captura de archivos y registro de actividad de teclado. También se reportan capacidades de vigilancia de audio y video, además de acceso remoto mediante consola.
En paralelo, el actor habría usado técnicas tipo ClickFix para empujar al usuario a descargar malware. El reporte sugiere que se observaron métodos similares dirigidos a usuarios de Android, con el fin de que obtuvieran e instalaran un archivo APK.
Instrumentación de la operación: panel de mando y control
Para administrar infraestructura y agentes, la campaña empleó un panel de mando y control basado en web, descrito como FruitStone. Este tipo de control centralizado es habitual en operaciones APT, ya que permite coordinar entregas, gestionar fases del ataque y responder a la actividad observada.
En cuanto a las familias de malware mencionadas, el reporte indica que se atacó a usuarios de Windows con implantes como CornFlake RAT e infostealer, así como ChocoShell, un infostealer apoyado en PowerShell.
Device code phishing: credenciales “parecen legítimas”
Un elemento particularmente relevante es la integración de un flujo de autenticación. Microsoft indica que, en las últimas semanas previas al reporte, algunas páginas de aterrizaje redirigían a víctimas a experiencias basadas en device code, donde el usuario termina introduciendo un código de autenticación en páginas de inicio de sesión de Microsoft.
Esta actividad coincide con operaciones previas de phishing de device code atribuidas a los mismos grupos a partir de agosto de 2024. Aunque la técnica no sería completamente novedosa en sí, el valor para el atacante aumenta al combinarla con el contexto del portal cautivo y la manipulación del tráfico.
En otras palabras: al ocurrir dentro del “momento de autenticación” del Wi‑Fi, el pedido de validación puede percibirse como razonable para el usuario, lo que incrementa la probabilidad de que complete el proceso.
Quién estaría detrás: Storm-2945 y CaptiveCrunch
El seguimiento inicial identificó similitudes con una operación de espionaje asociada a APT28, aunque en ese punto no se estableció atribución concluyente. Luego, Microsoft atribuye la campaña más reciente a Storm-2945, una subunidad relacionada con Midnight Blizzard. Este actor también se conoce con otros nombres, incluidos APT29, Cozy Bear, The Dukes y Yttrium.
Microsoft describe que Storm-2945 es un actor patrocinado, en el reporte, por el Servicio de Inteligencia Extranjera de Rusia (SVR). A nivel histórico, Midnight Blizzard se ha asociado con objetivos en gobiernos, entidades diplomáticas, ONG y proveedores de servicios de TI en Estados Unidos y Europa, con fines de recolección de inteligencia vinculada a intereses de política exterior rusa.
Según Microsoft, sus operaciones suelen incluir el compromiso de cuentas válidas y, en escenarios muy específicos, técnicas más avanzadas para atacar mecanismos de autenticación internos y ampliar el acceso sin activar alertas.
Qué pueden hacer las organizaciones y los usuarios
Este caso pone el foco en un riesgo que crece en entornos móviles y de terceros: conectarse a redes compartidas con portales cautivos. Para reducir la exposición al robo de credenciales, ayuda aplicar medidas tanto operativas como de concienciación.
- Limitar el acceso: revisar políticas para que usuarios en viajes no dependan de cuentas sin protección reforzada.
- Fortalecer la autenticación: usar mecanismos más resistentes a phishing donde sea posible.
- Formar a empleados: insistir en que “actualizaciones” o descargas desde páginas de Wi‑Fi deben ser sospechosas.
- Vigilar señales: detectar cambios inusuales en DNS, tráfico web anómalo y actividad de inicio de sesión desde ubicaciones o dispositivos inesperados.
- Evaluar la cadena de confianza: si se gestionan portales cautivos, asegurar configuraciones y controlar dependencias del ecosistema.
Para el usuario final, una regla simple puede marcar diferencia: si la autenticación o una descarga ocurre en un contexto no relacionado con el servicio esperado, conviene pausar, verificar y reportar. En campañas como CaptiveCrunch, ese “momento de duda” es justo donde el atacante busca perder margen.
Conclusión
La campaña CaptiveCrunch muestra cómo el robo de credenciales puede aprovechar la rutina de conectarse a Wi‑Fi con portal cautivo. Al combinar manipulación DNS, técnicas AitM y señuelos para instalar malware, el atacante busca capturar credenciales, tokens de sesión y mantener control sobre el sistema, incluso después de que el usuario crea haber completado un proceso “normal”.
Con la integración de flujos de device code dentro de páginas de aterrizaje, el riesgo se vuelve más difícil de distinguir. Por eso, tanto empresas como usuarios deben priorizar protección contra phishing, controles de acceso y una verificación cuidadosa de lo que ocurre durante la autenticación en redes compartidas.
Fuente: https://www.securityweek.com/russian-state-apt-linked-to-recent-public-wi-fi-gateway-hacking/
