Você já se conectou ao Wi-Fi de um hotel e se deparou com uma tela pedindo para atualizar o navegador ou verificar sua identidade? Se clicou, pode ter sido a porta de entrada para uma das campanhas de espionagem digital mais sofisticadas já registradas. Desde o início de maio de 2026, o grupo de hackers russo Midnight Blizzard, conhecido também como APT29 ou Cozy Bear e vinculado ao SVR (Serviço de Inteligência Estrangeiro da Rússia), compromete sistemas de autenticação em redes de hospitalidade ao redor do mundo, transformando a conveniência do acesso rápido à internet em uma armadilha para viajantes corporativos e profissionais que precisam se conectar de qualquer lugar. O ataque, chamado de CaptiveCrunch pela inteligência de ameaças da Microsoft, revela como a infraestrutura digital que julgamos banal pode se tornar o ponto fraco de nossa segurança pessoal e profissional.
O que é um portal cativo e por que ele se tornou um alvo tão eficaz?
Para entender a sofisticação do ataque, primeiro precisamos desbugar um conceito que todos nós usamos, mas raramente pensamos sobre: o portal cativo. Trata-se daquela tela de autenticação que aparece automaticamente quando você tenta se conectar a uma rede Wi-Fi pública em aeroportos, hotéis ou cafés, pedindo um código do quarto, um cadastro rápido ou simplesmente a aceitação dos termos de uso. Essa tela é, em essência, uma porta de entrada controlada — um ponto de mediação entre o seu dispositivo e a internet que o hotel ou conferência gerencia. O grupo Storm-2945, um subgrupo operacional dentro do Midnight Blizzard, descobriu como sequestrar essa porta. Ao comprometer o equipamento que hospeda esses portais cativos — como roteadores e controladores de rede com interfaces de gerenciamento expostas, muitas vezes protegidos por senhas fracas ou reutilizadas —, os invasores ganham a capacidade de manipular todo o tráfego que passa por ali. Isso significa que, quando você digita qualquer endereço web após se conectar, o sistema malicioso pode interceptar essa solicitação e redirecioná-la para um servidor controlado pelos atacantes, sem que você perceba nada de estranho.
A pesquisa da ReliaQuest, publicada em 23 de julho de 2026, documentou gateways comprometidos em diversas cidades dos Estados Unidos, além de Índia e Arábia Saudita, afetando profissionais de setores como serviços financeiros, jurídicos, saúde, energia e varejo. A Microsoft, em seu relatório detalhado de 31 de julho de 2026, confirmou que a campanha está ativa desde o início de maio e observou comprometimentos em organizações de hospitalidade em vários países, apontando para uma operação global e coordenada. O mecanismo é particularmente perverso porque se aproveita da confiança que depositamos em ambientes que consideramos seguros — um hotel cinco estrelos, um centro de conferências internacional — para transformar a rotina de se conectar em um ato de vulnerabilidade involuntária.
ClickFix, DNS poisoning e o arsenal de engenharia social por trás do CaptiveCrunch
Uma vez que o portal cativo está sob controle, os atacantes desdobram uma variedade de táticas para extrair o máximo de dados das vítimas. A técnica principal é conhecida como ClickFix, que explora nossa tendência natural de seguir instruções na tela sem questionar. Ao tentar acessar a internet, o viajante vê uma mensagem aparentemente legítima informando que houve uma falha na verificação ou que uma atualização de navegador é necessária para prosseguir. A página exibe um erro simulado e, em seguida, instruções para copiar e colar um comando no terminal — um gesto que, para muitos, parece técnico e inofensivo, mas que na verdade inicia o download e a instalação de malware diretamente no dispositivo. Algumas variantes observadas entregam até mesmo APKs maliciosos para dispositivos Android, expandindo o alcance do ataque para além do universo Windows.
Outtra vetor documentado pela ReliaQuest é o envenenamento de DNS, ou DNS poisoning. Nessa abordagem, os atacantes alteram as configurações do servidor de nomes de domínio no gateway comprometido, de modo que, quando a vítima tenta acessar um site legítimo como o Microsoft 365, ela é redirecionada para um domínio falso hospedado na infraestrutura dos invasores. Os pesquisadores identificaram domínios registrados pelos atacantes, como m365-owa[.]com, owa-ms365[.]com e ms365-device[.]com, todos projetados para se passar por portais oficiais da Microsoft e realizar ataques Adversary-in-the-Middle (AiTM) — uma técnica onde o invasor se coloca entre a vítima e o serviço legítimo, interceptando credenciais e tokens de sessão em tempo real. Em cerca de um terço dos casos analisados, observou-se também o abuso de WPAD (Web Proxy Auto-Discovery Protocol), um protocolo que permite que o navegador descubra automaticamente configurações de proxy, mas que pode ser manipulado para redirecionar todo o tráfego web do dispositivo para servidores maliciosos.
CornFlake e ChocoShell: a engenharia do malware personalizado para espionagem
O arsenal de software malicioso implantado pela campanha CaptiveCrunch é notavelmente completo e demonstra um nível de engenharia que vai muito além de ferramentas genéricas disponíveis no mercado clandestino. O principal implant é chamado de CornFlake, um RAT (Remote Access Trojan — cavalo de tróia de acesso remoto) escrito em Go, uma linguagem de programação conhecida por sua eficiência e capacidade de compilação para múltiplas plataformas. O CornFlake opera em modo dropper — ou seja, ele se apresenta como um instalador legítimo —, exibindo janelas de progresso falsas que simulam atualizações do Windows, varreduras do Defender ou atualizações de navegador, enquanto, nos bastidores, ele se instala como um serviço persistente registrado como svchost32 com o nome enganoso de Cloud Sync Service.
Uma vez ativo, o CornFlake oferece aos operadores do ataque um controle quase total sobre a máquina infectada. Suas capacidades incluem keylogging (gravação de tudo o que é digitado), captura de clipboard (área de transferência), screenshots periódicos, gravação de áudio via API WASAPI, captura de imagens da webcam, roubo de credenciais e cookies do navegador usando uma técnica chamada ChromeKatz com bypass de proteções de engenharia avançada, exfiltração de arquivos por extensão específica, monitoramento de dispositivos USB, varredura de postura de segurança do sistema e acesso remoto via shell de comandos e PowerShell. Ele ainda expõe uma API HTTP no localhost, permitindo que outros componentes maliciosos se comuniquem com ele internamente. Toda essa comunicação de comando e controle utiliza criptografia ECDH P-256, um padrão de criptografia de curva elíptica que dificulta a interceptação e análise por ferramentas de segurança.
O segundo componente é o ChocoShell, um ladrão de informações que opera inteiramente na memória, sem deixar rastros no disco — uma característica que o torna extremamente difícil de ser detectado por antivírus tradicionais. Desenvolvido em PowerShell, o ChocoShell desativa proativamente o AMSI (Antimalware Scan Interface), uma camada de segurança do Windows que permite que antivírus inspecionem scripts em execução, e implementa detecção de sandbox baseada em timing — uma técnica que verifica se o malware está sendo executado em um ambiente de análise automatizado, encerrando a execução caso detecte sinais de virtualização. Suas comunicações de comando e controle ocorrem via HTTPS, disfarçadas como tráfego normal de imagens ou arquivos JavaScript, tornando a detecção ainda mais desafiadora. Entre os dados que ele exfiltra estão cookies, senhas, tokens SSO do Microsoft 365, tokens do Azure AD e até credenciais de redes Wi-Fi salvas no dispositivo. Notavelmente, a Microsoft observou indicações de que inteligência artificial foi utilizada no desenvolvimento desses malwares, com comentários no código-fonte sugerindo assistência de IA na geração de partes do software.
O dispositivo como campo de batalha: abuso de autenticação por código de dispositivo
Além do malware tradicional, a campanha CaptiveCrunch incorpora uma técnica que representa uma evolução preocupante no campo da ciberespionagem: o abuso do fluxo de autenticação por código de dispositivo do Microsoft Entra ID. Desde 16 de julho de 2026, os atacantes começaram a redirecionar vítimas para páginas que solicitam a inserção de um código de dispositivo, um mecanismo legítimo projetado para permitir que dispositivos sem navegador completo — como smart TVs ou consoles — se autentiquem em serviços da Microsoft. O problema é que, quando um usuário insere esse código em uma página controlada pelo invasor, ele está, na verdade, concedendo ao atacante a capacidade de acessar sua conta corporativa com Microsoft 365 como se fosse ele mesmo, sem que a autenticação multifator (MFA) convencional seja suficiente para bloquear o acesso, já que o fluxo de código de dispositivo a contorna de forma elegante.
Essa técnica não é inteiramente nova. O Midnight Blizzard já havia utilizado abusos semelhantes de código de dispositivo em campanhas de phishing por código OAuth desde agosto de 2024, e a inteligência da Microsoft observa sobreposições de táticas com outro subgrupo, o Storm-2372, que conduz operações de código de dispositivo desde fevereiro de 2026 com o auxílio de inteligência artificial para aprimorar as campanhas de phishing. A vítima-alvo principal segue sendo organizações governamentais, entidades diplomáticas, ONGs e provedores de tecnologia da informação, principalmente nos Estados Unidos e na Europa — o mesmo perfil que o Midnight Blizzard persegue consistentemente em suas operações de inteligência patrocinadas pelo Estado russo. A gestão toda essa operação é feita através de um painel web chamado FruitStone, que permite aos atacantes administrar as páginas de phishing, coletar telemetria das vítimas e configurar listas de IPs permitidos.
Proteção prática: o que profissionais de TI e viajantes podem fazer agora
Diante de um ataque que explora exatamente a rotina de se conectar a redes públicas durante viagens, a melhor defesa não é o pânico, mas a transformação de hábitos em protocolos conscientes. A primeira e mais direta recomendação da Microsoft é tratar qualquer rede Wi-Fi de hotel, aeroporto ou centro de conferências como não confiável — uma mudança de mentalidade que, embora pareça radical, reflete a realidade de um mundo onde a infraestrutura que usamos pode estar comprometida sem que ninguém ao nosso redor saiba. Sempre que possível, prefira conexões via dados móveis ou eSIM para atividades que envolvam credenciais corporativas, e nunca instale software ou atualizações solicitadas por um portal cativo — se o navegador pedir uma atualização ao se conectar, feche a aba e ignore, pois atualizações legítimas jamais são entregues dessa forma.
Para equipes de segurança de TI que gerenciam profissionais em viagem, as medidas precisam ser mais estruturadas. A ReliaQuest recomenda fortemente a implementação de uma VPN de túnel completo Always-on — ou seja, uma rede privada virtual que criptografa todo o tráfego do dispositivo desde o momento em que ele se conecta a qualquer rede, e não apenas quando o usuário se lembra de ativá-la. Além disso, as organizações devem bloquear o fluxo de autenticação por código de dispositivo do Entra ID via Acesso Condicional (Conditional Access) se essa funcionalidade não for necessária para o ambiente corporativo, eliminando assim um vetor de ataque que o CaptiveCrunch explora ativamente. A adoção de passkeys — chaves de autenticação baseadas em criptografia de chave pública que substituem senhas tradicionais — também é recomendada como uma camada adicional de segurança que resiste a ataques de phishing e AiTM. Por fim, nunca utilize credenciais corporativas em redes de convidados e considere o uso de roteadores de viagem gerenciados ou hotspots pessoais como alternativa controlada ao Wi-Fi público.
O que o caso CaptiveCrunch nos revela, no fundo, vai além de uma campanha de ciberespionagem estatal: ele expõe a fragilidade dos espaços que consideramos neutros e seguros em nossa vida digital cotidiana. O portal cativo de um hotel, que antes era apenas uma formalidade chata antes de acessar a internet, tornou-se um campo de batalha silencioso onde interesses geopolíticos se cruzam com a rotina de quem apenas quer checar o e-mail após um voo longo. Para o profissional de TI que viaja, a mensagem é clara: a segurança não é um recurso que se ativa quando se chega ao destino — ela precisa ser um protocolo que acompanha cada conexão, cada clique e cada decisão de autenticação que tomamos enquanto estamos longe de casa.