Los viajeros que se conectan al Wi-Fi de los hoteles ahora enfrentan riesgos mayores que una señal inestable. Una campaña vinculada a Midnight Blizzard, denominada CaptiveCrunch, está utilizando los portales cautivos (las páginas de inicio de sesión) para distribuir malware, robar credenciales y obtener acceso potencial a cuentas corporativas, afectando principalmente a redes del sector hotelero.

Si te conectas al Wi-Fi de un hotel, es posible que ahora te enfrentes a algo más que una señal de internet inestable. Una campaña vinculada a Midnight Blizzard ha convertido los portales cautivos (las páginas de inicio de sesión que aparecen antes de acceder a la red) en una ruta para el malware, el robo de credenciales y el posible acceso a cuentas corporativas.

La operación, conocida como CaptiveCrunch, ha afectado a redes relacionadas con la hostelería y otros lugares que utilizan equipos de portal cautivo en varios países.

Esta campaña te ataca durante las comprobaciones rutinarias de conectividad, sustituyendo las páginas web esperadas por avisos de actualización convincentes o solicitudes de inicio de sesión en la cuenta.

Analistas de Microsoft identificaron la actividad como obra de Storm-2945, un subconjunto operativo de Midnight Blizzard. Microsoft observó por primera vez la manipulación de la red en mayo de 2026.

En una actualización del 5 de octubre, los investigadores informaron de una actividad renovada que comenzó el 29 de septiembre, incluyendo una variante en Rust de CornFlake coherente con el desarrollo continuo de malware asistido por IA.

Microsoft afirmó en un informe que el riesgo se extiende más allá de un solo portátil infectado. Las contraseñas robadas y los tokens de sesión en la nube pueden exponer servicios empresariales, mientras que el phishing de código de dispositivo puede persuadirte para que apruebes la sesión de autenticación de un atacante.

Midnight Blizzard abusa de los portales cautivos de Wi-Fi de hoteles

CaptiveCrunch comienza cuando los atacantes manipulan el tráfico DNS y HTTP en las redes de invitados afectadas, redirigiendo a los usuarios a través de una infraestructura que ellos controlan.

La operación tiene como objetivo a viajeros de todo el mundo, mientras que las pruebas sugieren que los compromisos pueden involucrar servicios de portal cautivo compartidos en lugar de lugares aislados.

La página alterada puede hacerse pasar por una actualización del navegador o del sistema operativo y explotar técnicas de ClickFix, que te indican que realices un supuesto paso de reparación o verificación.

Esto convierte las advertencias familiares en un canal de entrega, muy parecido a los recientes ataques de actualizaciones falsas, donde tu interacción instala la carga útil maliciosa.

Microsoft observó troyanos de acceso remoto para Windows escritos en Go que pueden recopilar archivos y pulsaciones de teclas, robar credenciales y tokens, grabar audio o vídeo y abrir una shell de comandos remota.

Los investigadores también vieron instrucciones para Android en páginas de ClickFix que animaban a los usuarios a descargar e instalar un archivo APK. Un implante principal, CornFlake, muestra una ventana de progreso falsa mientras se copia a sí mismo en una carpeta de datos de aplicación y crea varias formas de reiniciarse tras un reinicio del sistema.

El malware se hace pasar por un servicio de Windows llamado Cloud Sync Service, lo que le ayuda a mimetizarse mientras mantiene el acceso. La campaña también redirige a algunas víctimas a dominios de servicios en línea similares para realizar phishing de tipo adversary-in-the-middle.

Es posible que se te pida que introduzcas un código de dispositivo en una página de inicio de sesión real, pero el código autoriza la sesión del atacante, una evolución de las operaciones anteriores de robo de credenciales de Teams asociadas con Midnight Blizzard.

Malware, robo de credenciales y defensa

ChocoShell, un infostealer de PowerShell en memoria, se centra en las cookies del navegador, las contraseñas guardadas, los tokens de inicio de sesión único de Microsoft 365 y las credenciales de Wi-Fi almacenadas.

Puede recuperar claves de cifrado del navegador y utilizar funciones de depuración del mismo para obtener cookies legibles, dando a los atacantes una ruta hacia sesiones en la nube autenticadas sin depender únicamente de una contraseña.

Esto hace que la campaña sea especialmente grave para los viajeros corporativos. Como han demostrado las brechas en la nube impulsadas por infostealers, los datos de sesión utilizables pueden ser replicados contra servicios en la nube, VPN y aplicaciones SaaS, creando un camino rápido desde la infección del dispositivo hasta el compromiso de la cuenta.

El malware intenta evadir la inspección desactivando los controles de escaneo anti-malware de Windows, comprobando si se encuentra en entornos de análisis y utilizando rutas HTTPS disfrazadas.

Puede elevar privilegios, comprimir los datos robados y enviarlos a su servidor de comando y control antes de eliminar los rastros temporales. Debes tratar las redes inalámbricas de hoteles, conferencias, aeropuertos y otros invitados como no confiables.

Prefiere un punto de acceso móvil u otra conexión privada cuando sea práctico, evita las descargas ofrecidas por un portal cautivo y confirma las actualizaciones solo a través de los canales normales de actualización del navegador o del sistema operativo.

Las organizaciones deberían evitar que los dispositivos gestionados se unan a redes Wi-Fi no aprobadas cuando sea posible y utilizar routers de viaje o puntos de acceso que establezcan conexiones cifradas con una infraestructura confiable.

El personal nunca debe reutilizar credenciales corporativas en una página de registro de red de invitados ni seguir un aviso para pegar comandos en PowerShell u otras herramientas de comandos del sistema.

Las defensas de identidad son tan importantes como los controles de los endpoints. Usa llaves de acceso (passkeys) y autenticación multifactor resistente al phishing, restringe la autenticación por código de dispositivo solo a los casos necesarios y utiliza políticas de riesgo de inicio de sesión para cuestionar o bloquear accesos sospechosos.

Los equipos de seguridad deben investigar la infraestructura enumerada, las descargas inesperadas después de las pruebas de conectividad y los artefactos de CornFlake.