Redes Wi-Fi de hotéis, centros de conferências e outros locais com portal cativo estão sendo usadas como ponte para manipular o tráfego, entregar malware e roubar contas corporativas de viajantes. A ação prioritária é tratar qualquer atualização exibida depois do login na rede como potencial incidente: não execute o arquivo, desconecte o dispositivo, preserve os registros e valide a conexão por uma rede confiável.
A campanha chamada CaptiveCrunch foi descrita pela Microsoft Threat Intelligence em uma investigação sobre o grupo Storm-2945, associado pela empresa ao Midnight Blizzard. O ataque combina comprometimento ou abuso da infraestrutura de portais cativos com redirecionamentos controlados pelo invasor. O objetivo não depende apenas de uma página falsa de login: o usuário pode ser levado a uma tela que imita uma atualização do navegador, do sistema ou de um componente conhecido.
O risco para empresas está na combinação entre mobilidade e confiança. O funcionário espera que a rede do hotel peça um cadastro, aceite termos ou solicite uma verificação. Se a rede ou o equipamento que serve o portal estiver sob controle do atacante, o navegador pode receber conteúdo malicioso antes que a vítima perceba uma anomalia. Uma conta corporativa comprometida depois dessa etapa pode expor correio eletrônico, arquivos, tokens de sessão e aplicações em nuvem.
O relatório da Microsoft também descreve operações de phishing que abusam do fluxo de código de dispositivo do Microsoft Entra ID. A vítima pode acreditar que está confirmando uma sessão ou conectando um serviço, quando, na prática, está autorizando o acesso do operador à conta. Esse caminho torna insuficiente a orientação genérica para “procurar o cadeado” no navegador.
Como a ponte funciona
O portal cativo é a página apresentada quando o dispositivo entra em uma rede que exige autenticação ou aceitação de termos. Em uma operação legítima, ele restringe o acesso até que a etapa de conexão seja concluída. Em CaptiveCrunch, segundo a investigação publicada pela Microsoft, o tráfego DNS e HTTP de redes atendidas por portais cativos foi manipulado para redirecionar usuários a uma infraestrutura controlada pelo grupo.
A partir desse ponto, o operador pode apresentar um fluxo de autenticação adversário, encaminhar o usuário a uma página que imita serviços corporativos ou oferecer um instalador falso. A técnica ClickFix aparece nesse estágio: a página instrui a pessoa a realizar ações manuais, como copiar um comando ou executar uma sequência apresentada como solução para um problema de conectividade. A instrução é o mecanismo de entrega, não uma simples mensagem de erro.
O malware identificado pela Microsoft inclui um trojan de acesso remoto para Windows chamado CornFlake. A análise descreve recursos para enumerar o sistema, coletar arquivos e teclas, roubar credenciais e tokens de sessão, monitorar dispositivos removíveis e oferecer um shell remoto. A equipe defensiva deve considerar que o impacto pode começar em um notebook de viagem e alcançar serviços corporativos quando o dispositivo voltar a usar redes internas ou acessar aplicações de trabalho.
O grupo também demonstrou interesse em dispositivos Android ao apresentar instruções para instalação de um arquivo APK em páginas de redirecionamento. Isso amplia o escopo da resposta: a investigação não deve presumir que somente notebooks Windows foram expostos.
Quem deve agir primeiro
O primeiro grupo a proteger é formado por viajantes com acesso a identidade, correio eletrônico, código, VPN, nuvem, faturamento ou ferramentas administrativas. Não é necessário esperar uma confirmação de malware para aplicar contenção quando há sinais de redirecionamento suspeito, instalação induzida ou aprovação de código de dispositivo.
Priorize as contas usadas no período da viagem e os dispositivos que acessaram a rede do local. Revogue sessões e tokens conforme o procedimento de resposta da organização, redefina credenciais quando houver evidência de captura e remova aplicações ou dispositivos recém-autorizados que o proprietário não reconheça. A revogação deve ser acompanhada da preservação dos registros de autenticação, porque encerrar a sessão sem registrar o contexto pode destruir a linha do tempo necessária para descobrir outros alvos.
A análise do Google Threat Intelligence Group ajuda a ampliar essa triagem. O grupo descreveu clusters que abusam de fluxos legítimos de autenticação, incluindo phishing por senha de aplicação, códigos de dispositivo e OAuth, além de campanhas que podem conduzir à instalação de malware. A conclusão operacional é semelhante: o evento não deve ser investigado apenas como uma tentativa de phishing, mas como possível abuso de uma autorização válida.
Procedimento de contenção
| Prioridade | Verificação | Decisão |
|---|---|---|
| P1 | O dispositivo acessou portal cativo e exibiu atualização, comando ou APK inesperado. | Desconectar da rede, não executar o conteúdo, registrar horário e local e encaminhar o equipamento para análise. |
| P1 | Houve login, aprovação de código, consentimento OAuth ou cadastro de dispositivo sem reconhecimento do usuário. | Revogar sessões e tokens, bloquear a aplicação ou dispositivo suspeito e iniciar investigação da identidade. |
| P1 | O usuário informou senha, código ou aprovou uma solicitação após o redirecionamento. | Redefinir a credencial por canal confiável, revisar regras de correio e procurar acessos e downloads anômalos. |
| P2 | Não há sinal de execução, mas o dispositivo usou a rede suspeita. | Verificar histórico de DNS e proxy, extensões, processos persistentes e alertas do endpoint antes de liberar o equipamento. |
| P2 | O viajante precisa continuar trabalhando. | Fornecer conexão móvel ou rede corporativa confiável e impedir o uso do equipamento investigado para tarefas privilegiadas. |
Na telemetria de identidade, procure autenticações bem-sucedidas após uma sequência incomum de falhas, novos locais ou dispositivos, consentimentos recentes, alterações em métodos de autenticação e acessos a dados que não combinam com o padrão do usuário. Para o endpoint, examine criação de serviços, tarefas agendadas, chaves de execução automática, binários em diretórios de perfil e conexões de saída iniciadas logo depois da suposta atualização.
O que bloquear na operação
Treinamento continua útil, mas não pode ser a única barreira. A política de viagem deve proibir a execução de atualizações oferecidas por portais cativos. Atualizações de navegador, sistema e agentes corporativos devem vir de mecanismos gerenciados ou de sites acessados diretamente, nunca de uma janela que surgiu depois da conexão à rede do hotel.
Para contas críticas, reduza a dependência de códigos de dispositivo e de métodos de recuperação pouco controlados. A equipe deve exigir autenticação resistente a phishing quando o provedor permitir, aplicar menor privilégio e monitorar consentimentos de aplicações. O artigo sobre passkeys em contas críticas detalha como combinar a proteção criptográfica com recuperação e auditoria do ciclo de vida.
Também é necessário formalizar o tratamento de chamadas e mensagens que aleguem suporte de rede. Uma solicitação para instalar software, copiar comandos ou aprovar uma sessão deve ser confirmada por outro canal. O guia sobre vishing contra acessos de nuvem mostra por que a validação independente precisa fazer parte do processo, e não depender da habilidade individual de reconhecer a voz ou a marca.
Decisão para hoje
As equipes devem identificar os viajantes que acessaram redes de hotéis e centros de conferências, cruzar essa lista com eventos de identidade e revisar dispositivos que apresentaram atualizações ou verificações incomuns. A prioridade não é bloquear um único domínio: é descobrir se uma rede intermediária alterou o caminho até a autenticação ou induziu uma instalação.
Se houver qualquer aprovação de código, consentimento desconhecido ou execução de instalador, trate a conta e o equipamento como expostos até que a investigação demonstre o contrário. Se não houver evidência de execução, mantenha a triagem baseada em registros e em indicadores de rede. O controle mais eficaz é retirar do portal cativo a autoridade de decidir o que o usuário deve instalar, confirmar ou autorizar.