Una reciente advertencia emitida por Microsoft ha sacado a la luz una sofisticada campaña de ciberespionaje desarrollada por un grupo de piratas informáticos de origen ruso, los cuales se infiltran en las conexiones inalámbricas de centros de conferencias y complejos hoteleros para comprometer los dispositivos de los usuarios mediante la manipulación del tráfico de red y la distribución de software malicioso.
Frente a la tendencia habitual de los ciberdelincuentes de concentrar sus esfuerzos en corporaciones específicas para sustraer información confidencial y exigir pagos de rescate, este nuevo escenario se distingue por apuntar de manera directa a los clientes de estos establecimientos a través de la infraestructura de telecomunicaciones que utilizan durante sus desplazamientos.
La maniobra detectada, denominada “CaptiveCrunch”, ha sido vinculada al colectivo conocido como “Storm-2945”, identificado operativamente como un subgrupo de Midnight Blizzard, entidad que a su vez mantiene conexiones con el Servicio de Inteligencia Exterior de Rusia, el SVR. La estrategia principal de estos atacantes consiste en vulnerar las redes Wi-Fi para desviar tanto las peticiones DNS como el tráfico HTTP hacia portales fraudulentos que imitan con precisión a servicios legítimos, operando de forma completamente transparente para las personas afectadas.
Entre las tácticas empleadas figura la suplantación de la plataforma Microsoft 365, donde los usuarios son inducidos a introducir un código proporcionado por los agresores para completar un falso inicio de sesión que facilita la apropiación de sus credenciales de acceso. Asimismo, la ofensiva recurre a la suplantación de componentes habituales del sistema operativo y herramientas de seguridad como Windows Update, Windows Defender o DirectX.
Para la ejecución de estas imitaciones se han utilizado recursos específicos como la herramienta CornFlake, facilitando la implementación de un troyano de acceso remoto que se disfraza bajo la apariencia de una ventana de instalación denominada “Cloud Sync Service”. Una vez completada esta fase, el programa malicioso otorga a los operadores la capacidad de supervisar la actividad del equipo mediante el registro de pulsaciones de teclado, la captura de imágenes de la cámara web, la grabación de audio a través del micrófono, la obtención de copias del portapapeles y la realización de capturas de pantalla.
Las capacidades del software intrusivo se extienden al hurto sistemático de contraseñas almacenadas en navegadores, credenciales asociadas a sesiones de Windows 365, cookies de navegación, claves guardadas de redes inalámbricas, memorias USB conectadas y diversos ficheros o documentos almacenados en el ordenador. De manera complementaria, los atacantes emplean un programa basado en PowerShell denominado Chocoshell para extraer información sensible de manera automatizada.
Ante este panorama de vulnerabilidad en las infraestructuras inalámbricas públicas y comerciales, la recomendación oficial emitida aconseja a los usuarios extremar la precaución respecto a los sitios web que visitan y los archivos que descargan durante sus estancias en estos recintos, sugiriendo el uso de puntos de acceso móviles propios o servicios de zona Wi-Fi compartida para garantizar la confidencialidad de las comunicaciones.
