Cuando te conectas a la red Wi‑Fi de un hotel, es normal ver un portal cautivo que te guía para “autorizar” el acceso. Sin embargo, investigaciones recientes advierten que ese mismo mecanismo puede convertirse en una vía para actualizaciones falsas Wi‑Fi y, a partir de ahí, desplegar software malicioso con fines de vigilancia.
El escenario descrito implica que, tras el secuestro del Wi‑Fi del alojamiento, se sirven páginas de apariencia legítima que empujan a los usuarios a interactuar. En algunos casos, incluso se redirige a flujos de autenticación que pueden terminar facilitando el acceso a sesiones controladas por atacantes.
Cómo llegan las “actualizaciones” al móvil o al portátil
Según los análisis publicados, los atacantes aprovechan el control de la infraestructura asociada al portal cautivo. En lugar de limitarse a dirigir a la página de inicio, la puerta de enlace administra también respuestas de DNS para los dispositivos conectados.
Ese detalle es clave: al poder falsificar respuestas del sistema de nombres, los atacantes pueden desviar el tráfico. Así, una comprobación automática de conectividad del equipo podría terminar llevándote a una pantalla que imita una actualización de navegador, del sistema operativo o de herramientas de “solución de problemas”.
El usuario sigue teniendo un papel
Las evidencias indican que no se trata necesariamente de una infección silenciosa en el dispositivo. En muchas páginas se incluyen instrucciones tipo ClickFix que orientan a la víctima a abrir una terminal o una utilidad de Windows y ejecutar un comando proporcionado por los atacantes.
En ese modelo, el portal controla hacia dónde se envía al usuario, pero la descarga o ejecución del payload depende de que la víctima siga el flujo indicado.
De la red capturada al malware: CornFlake
Microsoft señala que el contenido entregado a través de esas actualizaciones falsas Wi‑Fi fue usado para distribuir un troyano de acceso remoto (RAT) llamado CornFlake. Su función es permitir vigilancia y manipulación del entorno del usuario.
Los investigadores describen la operación como CaptiveCrunch y la vinculan, en la evaluación de Microsoft, con un actor identificado como Storm-2945. Además, el reporte relaciona el conjunto con clústeres de actividad atribuidos a entidades asociadas a inteligencia extranjera.
Qué hace CornFlake en el equipo
El implante, implementado en Go, se copia dentro de una ruta bajo el perfil del usuario y se registra para persistir. También utiliza una ventana de progreso falsa que busca mantener la atención de la víctima durante el proceso.
Dentro de sus capacidades, el malware puede:
- Tomar capturas de pantalla
- Registrar audio
- Capturar teclas (keylogging).
- Leer información del portapapeles junto con el título de la ventana activa.
- Robar cookies
- Intentar acceder a cookies protegidas por esquemas como Chrome App-Bound Encryption.
- Escanear medios extraíbles conectados al sistema.
- Abrir un shell remoto para controlar instrucciones adicionales.
Además, el reporte indica que usa mecanismos de persistencia como una clave Run del Registro y una tarea programada. También incorpora un comportamiento tipo “vigilante” que reinstaura la persistencia si los defensores la eliminan.
Robo de credenciales y sesión: ChocoShell y tokens
El análisis también identifica otro componente: ChocoShell, descrito como un capturador de PowerShell en memoria. En este caso, el objetivo es obtener tokens
Entre la información recopilada se mencionan tokens de Microsoft 365 y Azure Active Directory, incluyendo tokens de acceso y actualización, además de tokens del Web Account Manager (WAM).
El robo se asocia a archivos en cachés del Token Broker. Con esas credenciales, los atacantes podrían facilitar reproducción de sesiones incluso sin depender de cookies tradicionales del navegador.
La redirección a flujos de autenticación de “dispositivos”
Una parte especialmente preocupante del caso es que, desde el 16 de julio, algunas páginas de aterrizaje vinculadas a CaptiveCrunch redirigieron a los huéspedes hacia un flujo de código de autenticación de Microsoft.
Al introducir el código provisto por el atacante en una página de inicio de sesión legítima, se podría habilitar el acceso a una sesión ya “aprobada” en términos de autenticación multifactor (MFA), porque el proceso se completa dentro del contexto del flujo.
Microsoft recomienda mitigar este riesgo mediante Conditional Access para bloquear el flujo donde no sea necesario.
Señales que deberías tomar en serio en un portal cautivo
Los investigadores sugieren que los viajeros sean cautelosos ante cualquier interacción que aparezca cuando estás conectado a una red de hotel. En concreto, recomiendan:
- Evitar software o “actualizaciones” que se ofrezcan a través del portal cautivo.
- Rechazar certificados, mensajes de “solución de problemas” o utilidades de seguridad que aparezcan como parte del flujo.
- No aceptar actualizaciones de navegador ni del sistema operativo promovidas desde la página del portal.
- Preferir conexiones privadas y no responder a instrucciones que te pidan ejecutar comandos.
La idea es simple: si el contenido llega por una ruta que no controlas, podría estar diseñado para inducirte a ejecutar o habilitar algo que no necesitas.
Qué medidas reduce el riesgo
Además de las precauciones del usuario, el reporte incluye recomendaciones técnicas. ReliaQuest propone usar una VPN con protección siempre activa y en modo de túnel completo (full-tunnel), de forma que las consultas DNS viajen primero por los resolvers corporativos y no queden expuestas a la puerta de enlace del lugar.
En otras palabras, la VPN intenta impedir que el portal cautivo tenga la última palabra sobre a qué direcciones te conectas.
Por qué este tipo de ataque puede extenderse más de un hotel
El análisis de Microsoft indica que encontró similitudes en el equipamiento y los sistemas de gestión empleados en las redes afectadas. Esa repetición podría significar acceso a servicios compartidos dentro del ecosistema del portal cautivo, por lo que no necesariamente sería un incidente aislado en un solo sitio.
Eso no implica que todos los alojamientos estén comprometidos, pero sí sugiere que las actualizaciones falsas Wi‑Fi podrían reaparecer en múltiples redes que usen componentes similares.
Alcance real: lo que aún no se puede medir
Los reportes documentan la redirección activa y la entrega de malware, pero no ofrecen cifras públicas sobre cuántas veces se ejecutó el payload, cuántas aprobaciones de código se completaron ni cuántas cuentas o sesiones se vieron afectadas.
Sin esos datos cuantitativos, el registro público permite entender el mecanismo, aunque no medir con precisión la conversión de “redirección” a “compromiso”.
Conclusión
Las actualizaciones falsas Wi‑Fi sirven para transformar un portal cautivo aparentemente habitual en una plataforma de redirección y entrega de malware. En el caso descrito, esa cadena puede llevar a herramientas de vigilancia como CornFlake, además de componentes orientados a robo de tokens como ChocoShell.
Si viajas, piensa en cada aviso del portal cautivo como una señal de riesgo: utiliza conexiones privadas, evita aceptar actualizaciones y no ejecutes instrucciones que te pidan desde una página de acceso. Con esos hábitos, reduces de forma importante la probabilidad de caer en este tipo de engaños.
Fuente: https://thehackernews.com/2026/08/hijacked-hotel-wi-fi-pushes-fake.html
