Una campagna di cyber attacchi sta trasformando il Wi-Fi degli hotel in un canale di distribuzione per malware di sorveglianza, sfruttando la fiducia degli utenti nei portali captive portal e nei messaggi di aggiornamento. In diversi Paesi, reti di ospitalità compromesse sono state usate per mostrare falsi update di browser o di sistema operativo che portano al download di CornFlake, un trojan di accesso remoto progettato per raccogliere immagini dalla webcam, audio dal microfono e sequenze di tasti.
Il punto chiave è che non si tratta di un’infezione silenziosa: la catena di attacco richiede l’azione della vittima, che viene guidata a eseguire comandi o installare un file.
La tecnica osservata ruota intorno alla manipolazione del DNS nel gateway del captive portal. Quando il gateway controlla anche il resolver DNS assegnato ai dispositivi connessi, un attaccante con privilegi amministrativi può falsificare le risposte DNS e reindirizzare il traffico. In questo modo può intercettare i controlli automatici di connettività del laptop e spingere l’utente verso pagine che imitano aggiornamenti legittimi. Alcune varianti usano istruzioni in stile ClickFix, chiedendo di aprire un terminale o un’utility di Windows e incollare un comando fornito, aumentando le probabilità di esecuzione del payload.
CornFlake è un impianto basato su Go che copia se stesso in un percorso sotto AppData, si registra come servizio con un nome credibile come Cloud Sync Service e mostra una finestra di avanzamento finta per distrarre. Le capacità includono screenshot attivati da inattività, raccolta appunti con titolo della finestra attiva, furto di cookie e password salvate nel browser, scansione di supporti rimovibili e apertura di una shell remota. Per mantenere la persistenza usa chiavi Run nel registro e attività pianificate, con un meccanismo di watchdog che ripristina i punti di avvio se rimossi.
È stata inoltre identificata una componente in memoria in PowerShell, ChocoShell, focalizzata sul furto di token di accesso e refresh per Microsoft 365 e Azure Active Directory, inclusi token WAM dalla cache del Token Broker. In alcuni casi le pagine di atterraggio reindirizzano al flusso device code di Microsoft: inserire un codice fornito dall’attaccante su una pagina di accesso reale può concedere una sessione già soddisfatta per MFA, rendendo più semplice l’abuso di account cloud. Per ridurre il rischio, è consigliato un VPN sempre attivo in full tunnel che inoltri anche le query DNS verso resolver aziendali, e rifiutare aggiornamenti, certificati o strumenti proposti tramite portali Wi-Fi pubblici.