CaptiveCrunch explota portales Wi‑Fi de hoteles y roba credenciales
Microsoft avisa que CaptiveCrunch manipula DNS y portales cautivos en Wi‑Fi hotelero para redirigir inicios de sesión, robar tokens OAuth y distribuir malware.
CaptiveCrunch, un grupo atribuido a Rusia, está aprovechando los portales cautivos de redes Wi‑Fi de hoteles, conferencias y otros servicios de hospedaje para comprometer cuentas corporativas y dispositivos, según un aviso de Microsoft.
Por qué importa: el ataque convierte el momento habitual de autenticación en Wi‑Fi en una ventana para robar credenciales, capturar tokens de acceso y entregar malware que permite control remoto y robo de información.
Lo esencial
El actor manipula el camino de red y modifica tráfico DNS y HTTP en portales cautivos de Wi‑Fi.
Las víctimas son redirigidas a páginas de phishing que roban credenciales, códigos de dispositivo y tokens OAuth.
Los operadores emplean CornFlake (RAT) y ChocoShell (infostealer fileless en PowerShell) para espionaje y exfiltración.
Intercepción y manipulación en el portal cautivo
Microsoft describe que los atacantes se posicionan en la ruta de red de redes Wi‑Fi hospederas y alteran las resoluciones DNS y el tráfico HTTP del portal cautivo. La manipulación ocurre durante el flujo de autenticación inicial, cuando los usuarios aún no han establecido túneles seguros como una VPN, lo que facilita redirecciones y proxys maliciosos.
Phishing incrustado en la experiencia de conexión
Desde la perspectiva del usuario la conexión parece normal: se abre un portal con mensajes familiares. Sin embargo, el navegador puede ser redirigido a páginas controladas por el atacante que imitan inicios de sesión legítimos, incluidos formularios tipo Microsoft, con la finalidad de capturar credenciales, códigos de dispositivo y tokens OAuth que permiten acceso persistente a cuentas corporativas.
CornFlake y ChocoShell: RAT e infostealer
Entre las cargas usadas, Microsoft identifica a CornFlake como un troyano de acceso remoto (RAT) capaz de capturar webcam, audio de micrófono y pulsaciones de teclado. El infostealer denominado ChocoShell opera mediante PowerShell sin dejar archivos en disco y apunta a cookies de navegador, contraseñas guardadas, tokens de inicio único (Microsoft 365 SSO) y credenciales Wi‑Fi.
Imagen de referencia: Malwarebytes Labs.
Herramientas falsas y vectores de descarga
Los atacantes presentan instaladores o cuadros falsos para inducir descargas: ventanas tipo "winupdate", falsos escaneos de "defender", instaladores "DirectX" o "vcredist", utilidades de optimización "sysopt", diagnósticos de red "netfix", avisos de actualización de navegador o visores de PDF. Esos señuelos facilitan la entrega de CornFlake y ChocoShell.
Organizaciones y viajeros afectados
Microsoft sitúa el objetivo en viajeros globales que usan Wi‑Fi de hoteles, conferencias y otros servicios de hospitalidad; el objetivo final son cuentas y dispositivos corporativos que se autentican a través de esos portales. El escenario alcanzable incluye captura de tokens de SSO y acceso remoto a máquinas comprometidas.
Preguntas frecuentes sobre CaptiveCrunch
¿Qué capacidades tienen los programas detectados?
Microsoft reporta que CornFlake es un RAT con capacidades de espionaje (webcam, micrófono, keylogging) y ChocoShell es un infostealer fileless basado en PowerShell que extrae cookies, contraseñas guardadas, tokens de Microsoft 365 SSO y credenciales Wi‑Fi.
¿Qué medidas concretas recomienda la industria?
Malwarebytes recuerda opciones prácticas: usar el punto de acceso del propio móvil en lugar del Wi‑Fi público y, si es necesario usar redes públicas, completar la autenticación en el portal y lanzar una VPN con Kill Switch antes de abrir sitios o aplicaciones para limitar la exposición y el robo pasivo de datos.
