Agentes maliciosos estão comprometendo equipamentos responsáveis por redes públicas de Wi-Fi para roubar credenciais de contas corporativas do Microsoft 365, segundo uma investigação da ReliaQuest.
A campanha tem como alvo gateways utilizados em redes com portais cativos, aquelas páginas de autenticação normalmente exibidas quando um usuário se conecta ao Wi-Fi de hotéis, centros de convenções, aeroportos e outros espaços compartilhados.
Durante os ataques, os invasores alteram as configurações de DNS de roteadores para pequenos escritórios e ambientes domésticos, conhecidos como dispositivos SOHO, fazendo com que os usuários sejam redirecionados para uma infraestrutura controlada pelos criminosos.
Funcionários em viagem são os principais alvos
A atividade ocorre pelo menos desde junho de 2026 e busca atingir principalmente funcionários de empresas que se conectam a redes públicas durante viagens corporativas.
Os gateways comprometidos foram identificados em hotéis e centros de convenções nos Estados Unidos, na Índia e na Arábia Saudita. Segundo a ReliaQuest, o problema não está restrito a um setor específico.
A empresa de segurança observou conexões com os equipamentos comprometidos originadas de organizações dos setores financeiro, jurídico, de saúde, energia, varejo e serviços profissionais.
Os dados indicam que os responsáveis pela campanha provavelmente buscam funcionários em trânsito, independentemente do segmento da empresa em que trabalham.
Ataque intercepta tráfego e páginas de login
Os agentes maliciosos utilizam uma técnica conhecida como adversary-in-the-middle, ou AitM, na qual o tráfego entre a vítima e o serviço legítimo é interceptado.
Dessa forma, os invasores podem capturar credenciais, sessões de autenticação e outras informações confidenciais transmitidas durante a navegação.
A ReliaQuest identificou quatro domínios registrados pelos responsáveis pela operação. Esses endereços eram utilizados para distribuir páginas falsas que imitavam interfaces da Microsoft e induziam as vítimas a informar seus dados de acesso ao Microsoft 365.
Por meio do envenenamento de DNS, todos os usuários conectados às redes afetadas poderiam ser direcionados automaticamente para a infraestrutura maliciosa.
Campanha apresenta semelhanças com atividade ligada ao APT28
O comportamento observado possui semelhanças com a campanha FrostArmada, anteriormente atribuída ao APT28, grupo também conhecido como Forest Blizzard e Fancy Bear.
O APT28 é apontado por diferentes organizações de segurança como um grupo patrocinado por Estado e associado à Diretoria Principal de Inteligência do Estado-Maior russo, conhecida como GRU.
Apesar das semelhanças, a ReliaQuest afirma que ainda não existem evidências suficientes para atribuir a nova campanha ao mesmo grupo.
As táticas, técnicas e procedimentos indicam que os responsáveis podem estar reutilizando métodos já empregados pelo APT28. No entanto, a infraestrutura, os domínios e os endereços IP identificados não correspondem aos observados anteriormente nas operações do grupo.
O uso de envenenamento de DNS para redirecionar indiscriminadamente todos os usuários também pode indicar uma operação menos sofisticada ou conduzida com menos cautela.
Hotéis, aeroportos e universidades também estão expostos
A campanha amplia os riscos associados a redes públicas que utilizam portais cativos. Além de hotéis e centros de convenções, aeroportos, hospitais, universidades e espaços para eventos podem apresentar uma superfície de ataque semelhante.
A ReliaQuest destaca ainda que o comprometimento específico de equipamentos utilizados em redes de hotéis e centros de conferências não havia sido documentado anteriormente nas análises relacionadas à campanha FrostArmada.
Organizações devem orientar seus funcionários a evitar o acesso a contas corporativas por redes públicas desconhecidas, utilizar conexões VPN confiáveis e verificar cuidadosamente os endereços das páginas de autenticação.
A adoção de métodos de autenticação resistentes a phishing, como chaves de segurança físicas e passkeys, também pode reduzir o risco de comprometimento das contas, mesmo que as credenciais sejam interceptadas.
Para saber mais, clique aqui.