Microsoft îi avertizează pe cei care folosesc rețelele Wi-Fi din hoteluri, aeroporturi și centre de conferințe să fie atenți la actualizările care apar imediat după conectare. În spatele ferestrelor care par trimise de Windows sau de browser se poate ascunde un program periculos, capabil să le ofere hackerilor controlul asupra laptopului și acces la parole, documente sau conturi de serviciu.
Compania recomandă evitarea rețelelor publice ori de câte ori există această posibilitate, după ce a descoperit o campanie de spionaj cibernetic care compromite infrastructura de internet din spațiile frecventate de călători. Atacurile au fost observate în mai multe țări, începând din primele zile ale lunii mai 2026, și au fost descrise ca fiind răspândite, dar îndreptate către anumite persoane.
Operațiunea a fost numită CaptiveCrunch și este atribuită grupării Storm-2945, considerată o ramură a Midnight Blizzard. Gruparea mai este cunoscută sub denumirile APT29 sau Cozy Bear și a fost asociată de autoritățile americane și britanice cu Serviciul de Informații Externe al Rusiei.
Atacul începe în momentul în care o persoană se conectează la internetul unui hotel, al unui aeroport sau al unui centru de conferințe. În mod obișnuit, utilizatorul este trimis către o pagină unde trebuie să introducă numărul camerei, adresa de e-mail sau să accepte condițiile de utilizare ale rețelei.
Hackerii compromit această etapă și manipulează traficul pentru a redirecționa utilizatorul către pagini pe care le controlează. Imediat după conectare, pe ecran apare un mesaj care îi cere victimei să instaleze o actualizare pentru Windows, browser, drivere sau un program de securitate.
Momentul în care este afișat mesajul face înșelătoria mai credibilă, deoarece utilizatorul poate crede că actualizarea este necesară pentru accesarea internetului. În realitate, hotelurile și organizatorii de conferințe nu ar trebui să le ceară clienților să instaleze asemenea programe pentru a se conecta la Wi-Fi.
Ferestre false de Windows și Microsoft Defender
În cadrul campaniei au fost identificate mai multe ecrane false, construite astfel încât să semene cu ferestrele obișnuite ale sistemului de operare. Unele afișează mesajul „Working on updates… Don’t turn off your computer”, în timp ce altele imită o scanare Microsoft Defender, instalarea DirectX sau a Microsoft Visual C++.
Atacatorii folosesc și pagini care pretind că instalează un program pentru optimizarea discului, repară conexiunea prin Windows Network Diagnostics ori actualizează browserul. În alte situații, utilizatorului i se cere să descarce un cititor de documente PDF, însă fișierul poate ascunde programul folosit pentru infectarea dispozitivului.
Au fost descoperite și pagini care susțin că Google a detectat „trafic neobișnuit” și solicită verificarea identității. Victima primește apoi indicația de a copia și executa o comandă în Windows Terminal, Command Prompt sau PowerShell, procedură care nu face parte dintr-o verificare normală și trebuie tratată ca o posibilă tentativă de infectare.
Hackerii pot porni camera și microfonul
Fișierul descărcat poate instala CornFlake, un program care se copiază pe dispozitiv, își creează mecanisme pentru a porni automat și încearcă să se ascundă sub denumiri asemănătoare unor procese legitime din Windows. Odată instalat, acesta îi poate oferi atacatorului acces de la distanță la laptop.
Programul poate înregistra tastele apăsate, inclusiv parolele introduse, și poate monitoriza informațiile copiate în clipboard. De asemenea, poate realiza capturi de ecran, activa camera și microfonul sau executa comenzi Windows trimise de la distanță.
Atacatorii pot căuta și copia documente, arhive, imagini, mesaje electronice, cod sursă și chei de criptare. Totodată, pot extrage parolele și modulele cookie salvate în browser și pot monitoriza dispozitivele USB conectate la calculator.
Campania folosește și programul ChocoShell, care urmărește furtul parolelor, al datelor de conectare la rețele Wi-Fi, al modulelor cookie și al tokenurilor Microsoft 365. Cookie-urile și tokenurile de autentificare sunt deosebit de periculoase, deoarece le pot permite atacatorilor să intre într-un cont fără să mai introducă parola.
Nici telefoanele cu Android nu sunt ignorate. În unele situații, utilizatorii primesc instrucțiuni pentru descărcarea și instalarea manuală a unui fișier APK, care poate conține o aplicație periculoasă.
Conturile Microsoft 365, vizate printr-o metodă greu de observat
O altă metodă îi redirecționează pe utilizatori către pagini false care imită serviciile Microsoft sau către o autentificare aparent legitimă printr-un cod de dispozitiv. Atacatorul începe conectarea pe propriul dispozitiv, apoi îi cere victimei să introducă acel cod pe pagina reală Microsoft.
Persoana poate crede că își autorizează propriul laptop pentru accesarea internetului, dar aprobă, de fapt, sesiunea pornită de atacator. În cazul conturilor de serviciu, această manevră poate oferi acces la e-mailurile Microsoft 365, fișierele din OneDrive și alte informații ale companiei.
Integrarea cererii în pagina de conectare la Wi-Fi face atacul mai convingător. Utilizatorul se așteaptă deja să completeze anumite date pentru a intra pe internet și poate să nu observe că i se cere să autorizeze un dispozitiv străin.
Cum poate fi evitată capcana
Rețelele wireless din hoteluri, aeroporturi, centre de conferințe și alte spații publice trebuie privite ca rețele nesigure. Cea mai bună variantă este folosirea conexiunii mobile proprii, prin hotspot, eSIM sau un dispozitiv separat de internet mobil.
Utilizatorii nu ar trebui să instaleze actualizări, certificate, programe de securitate sau instrumente de reparare a conexiunii afișate imediat după conectarea la o rețea publică. Windows și aplicațiile trebuie actualizate numai din meniurile oficiale ale sistemului de operare sau direct din programele respective, nu prin ferestre apărute în browser.
Parola de serviciu nu trebuie introdusă într-o pagină de autentificare a hotelului, iar un cod Microsoft apărut în mod neașteptat nu trebuie confirmat. Autentificarea în mai mulți pași și cheile de acces pot reduce riscul, însă contul poate fi compromis dacă utilizatorul aprobă chiar el o solicitare frauduloasă.
Companiile sunt sfătuite să verifice și ce informații oferă angajații hotelurilor sau organizatorilor de conferințe atunci când solicită acces la rețeaua pentru oaspeți. Numele companiei, funcția ocupată, adresa profesională de e-mail și detaliile călătoriei îi pot ajuta pe atacatori să aleagă persoanele cu acces la informații importante.
