A Microsoft revelou uma campanha de espionagem que transforma o Wi-Fi de hotéis e centros de conferências em armadilha para viajantes de negócios. Ao assumirem o controlo dos portais cativos que gerem o acesso à Internet nesses locais, os atacantes manipulam as respostas de DNS para redirecionar os hóspedes para falsas atualizações de software que instalam malware de vigilância e para páginas que roubam tokens de acesso à cloud — tudo sem enviar um único e-mail de phishing.
Resposta rápida: A operação, apelidada de CaptiveCrunch e atribuída pela Microsoft ao grupo russo Storm-2945 (sub-cluster do Midnight Blizzard/APT29), compromete portais cativos de Wi-Fi para envenenar DNS e servir falsas atualizações que instalam o implante CornFlake. Se viaja a trabalho, ative uma VPN sempre ligada em túnel completo e recuse qualquer atualização, certificado ou utilitário oferecido através de uma rede de hotel ou conferência.
O que é a campanha CaptiveCrunch
Desde o início de maio de 2026, a Microsoft Threat Intelligence observou o Storm-2945, um sub-cluster do Midnight Blizzard, a conduzir ataques de manipulação de tráfego amplos mas direcionados envolvendo redes do setor da hospitalidade servidas por portais cativos em todo o mundo. A empresa rastreia a operação como CaptiveCrunch e avalia que o Storm-2945 é um sub-cluster operacional do Midnight Blizzard, também conhecido como APT29 e Cozy Bear.
A atribuição é geopoliticamente relevante: os governos dos EUA e do Reino Unido atribuem o ator mais amplo ao Serviço de Inteligência Estrangeira da Rússia (SVR). A Microsoft distingue esta operação de uma anterior semelhante: apesar de algumas semelhanças de táticas, técnicas e procedimentos com a operação de sequestro de DNS do Forest Blizzard divulgada em abril de 2026, atribui esta campanha, a que chama CaptiveCrunch, ao Storm-2945.
Como funciona o ataque ao portal cativo
O ponto de partida não é o computador da vítima, mas o equipamento de rede que gere o acesso à Internet no local. Nas redes comprometidas que a ReliaQuest investigou, o gateway do portal cativo servia também como resolvedor de DNS atribuído aos dispositivos ligados; o controlo administrativo desse gateway permitiu aos atacantes forjar respostas de DNS e redirecionar o tráfego resultante.
Com esse controlo, os atacantes podiam redirecionar a verificação automática de conectividade de um portátil para uma falsa atualização de navegador ou de sistema operativo. Alguns fluxos vão mais longe: algumas páginas usam instruções de ClickFix que dizem às vítimas para abrir um terminal ou outro utilitário do Windows e executar um comando fornecido pelo atacante. É importante compreender a fronteira do ataque: o gateway controla para onde o utilizador é enviado, mas não infeta silenciosamente o dispositivo. É sempre necessária uma ação da vítima — aceitar a falsa atualização ou executar o comando.
Quanto ao alcance geográfico e temporal, a Microsoft observou a manipulação de tráfego desde o início de maio em redes de hospitalidade em vários países, mas não nomeou nenhum hotel, local ou fornecedor de portal cativo. Relatos da ReliaQuest documentam atividade num campanha ampla em que os atacantes comprometem gateways de Wi-Fi em hotéis, centros de conferências e outros locais com portal cativo, envenenando as respostas de DNS para redirecionar viajantes para falsas páginas de início de sessão do Microsoft 365; a atividade está em curso desde pelo menos junho de 2026 e foi observada em várias cidades dos EUA, na Índia e na Arábia Saudita.
CornFlake: o implante de vigilância
A carga final é um trojan de acesso remoto sofisticado. O CornFlake é um RAT para Windows completo, escrito em Go, que serve de implante persistente principal do Storm-2945. A Microsoft descreve as suas capacidades de espionagem: o implante pode tirar capturas de ecrã acionadas por inatividade, registar o conteúdo da área de transferência com o título da janela ativa, roubar cookies de navegador e palavras-passe guardadas — incluindo cookies protegidos pelo App-Bound Encryption do Chrome — analisar dispositivos removíveis e abrir uma shell remota.
A persistência e o disfarce são cuidados. O CornFlake copia-se para %APPDATA%\svchost32\svchost32.exe e regista o serviço svchost32 com o nome de exibição “Cloud Sync Service”, enquanto uma falsa janela de progresso prende a atenção da vítima. Este disfarce estende-se a toda a infraestrutura: o FruitStone é o painel de comando e controlo baseado na web que os operadores do Storm-2945 usam para gerir toda a infraestrutura da campanha, implementado como aplicação de página única que oferece um painel centralizado para gerir endpoints comprometidos, construir e implantar novas cargas e rever todos os dados recolhidos, como capturas de ecrã, teclas premidas e credenciais de navegador.
O golpe do “device code”: MFA já satisfeito
A par da distribuição de malware, a campanha explora um vetor de identidade especialmente insidioso. Desde 16 de julho, algumas páginas de destino do CaptiveCrunch redirecionaram os hóspedes para o fluxo de autenticação por código de dispositivo (device code) da Microsoft. O perigo é que introduzir o código fornecido pelo atacante na página legítima de início de sessão da Microsoft pode conceder à sessão controlada pelo atacante acesso com autenticação multifator (MFA) já satisfeita.
Por outras palavras, o utilizador autentica-se numa página genuína da Microsoft, mas quem fica com a sessão válida é o atacante — sem que nenhuma palavra-passe seja “roubada” no sentido clássico. A técnica não parece ser fundamentalmente nova; contudo, integrar o phishing de código de dispositivo em operações de portal cativo e manipulação de tráfego pode aumentar a probabilidade de os utilizadores percecionarem o pedido de autenticação como legítimo.
Cronologia da campanha
| Data | Acontecimento |
|---|---|
| Início de maio de 2026 | A Microsoft começa a observar a manipulação de tráfego em redes de hospitalidade servidas por portais cativos. |
| Junho de 2026 | A ReliaQuest documenta atividade em várias cidades dos EUA, na Índia e na Arábia Saudita. |
| 16 de julho de 2026 | Algumas páginas de destino passam a redirecionar hóspedes para o fluxo de device code da Microsoft. |
| 23 de julho de 2026 | A ReliaQuest publica o seu relatório sobre o envenenamento de DNS em Wi-Fi de hospitalidade. |
| 31 de julho de 2026 | A Microsoft publica a análise da campanha CaptiveCrunch, atribuindo-a ao Storm-2945. |
Como se proteger em viagem
A defesa mais eficaz atua ao nível da rede e da identidade. A ReliaQuest recomenda uma rede privada virtual (VPN) sempre ligada e em túnel completo, que envia as consultas de DNS através dos resolvedores corporativos antes que o gateway do local possa responder. Há uma nuance importante: forçar um resolvedor público como o da Google no PC não oferece proteção neste caso, pois a consulta sai do dispositivo em texto claro e o gateway pode lê-la, adulterá-la e redirecioná-la.
- Use ligações privadas e recuse atualizações de software, certificados, atualizações de navegador, ferramentas de resolução de problemas ou utilitários de segurança oferecidos através de portais cativos.
- Não ignore avisos de certificado nem assuma que um URL com o tema Microsoft pertence à Microsoft.
- Nunca copie e execute comandos de PowerShell sugeridos por uma página web, por mais convincente que seja o pretexto (“ClickFix”).
- Para as organizações: permitir o fluxo de código de dispositivo apenas onde for necessário; a Microsoft recomenda bloqueá-lo sempre que possível e, quando necessário, configurá-lo nas políticas de Acesso Condicional do Microsoft Entra ID.
- A Microsoft aconselha as organizações a aproximar-se o mais possível de um bloqueio unilateral do fluxo de código de dispositivo e a criar uma política para auditar o seu uso atual e determinar se ainda é necessário.
Porque é que isto importa em Portugal
Portugal é um destino turístico e de congressos de peso, com fluxo constante de executivos e profissionais que se ligam a redes de hotéis e centros de conferências. Qualquer colaborador em deslocação pode ser o elo por onde uma organização inteira é comprometida — sobretudo porque este ataque não depende de o utilizador clicar num e-mail, mas de confiar na rede do local onde está hospedado.
Para as entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a proteção de trabalhadores em mobilidade e o reforço da autenticação são parte das medidas de gestão de risco esperadas, com incidentes significativos a exigir notificação ao CNCS/CERT.PT. E como o CornFlake recolhe credenciais e dados pessoais, um comprometimento pode traduzir-se numa violação de dados com obrigações ao abrigo do RGPD perante a CNPD. Para PME sem grandes equipas de segurança, a mensagem prática é simples: VPN corporativa sempre ligada em viagem e regra de ouro de nunca instalar atualizações oferecidas por uma rede pública.
Perguntas frequentes
O meu computador é infetado só por me ligar ao Wi-Fi do hotel?
Não. O gateway controla para onde o utilizador é enviado, mas não infeta silenciosamente o dispositivo. A infeção exige que a vítima aceite uma falsa atualização ou execute um comando sugerido pela página. Recusar essas ações evita o comprometimento.
Uma VPN protege-me contra este ataque?
Sim, desde que seja a VPN certa. Uma VPN sempre ligada em túnel completo, que encaminha o DNS através de resolvedores corporativos de confiança, resolve a exposição principal; uma VPN iniciada pelo utilizador que só se liga após o início de sessão, que tem fugas de DNS ou que usa split tunneling pode deixar parte do caminho exposta.
O que é o golpe do “device code” e porque é tão perigoso?
O atacante inicia um pedido de autenticação e leva a vítima a introduzir um código numa página genuína da Microsoft. Quando bem-sucedido, a vítima autentica a sessão do atacante em vez da sua. Como a autenticação decorre na página legítima e o MFA é cumprido, o ataque contorna a proteção habitual sem roubar a palavra-passe.
Quem está por trás desta campanha?
A Microsoft rastreia a operação como CaptiveCrunch e atribui-a ao Storm-2945, que avalia ser um sub-cluster operacional do Midnight Blizzard (APT29/Cozy Bear); os governos dos EUA e do Reino Unido atribuem o ator mais amplo ao Serviço de Inteligência Estrangeira da Rússia (SVR).
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft Threat Intelligence, pela ReliaQuest e na documentação técnica do Microsoft Entra ID.