Microsoft Threat Intelligence baru saja mengungkap kampanye siber berskala global yang diberi nama CaptiveCrunch. Kampanye ini diduga dilakukan oleh Storm-2945, sub-unit dari grup cybersecurity peretas Rusia Midnight Blizzard (APT29/Cozy Bear) yang terkait dengan badan intelijen SVR Rusia. Modusnya? Membajak portal Wi-Fi hotel, pusat konferensi, dan venue bersama di berbagai negara untuk menyebarkan malware dan mencuri kredensial korporat.
Sejak awal Mei 2026, Storm-2945 memanipulasi lalu lintas DNS dan HTTP pada jaringan yang dilayani captive portal — halaman login Wi-Fi yang biasa muncul saat tamu hotel menyambungkan perangkat. Alih-alih diarahkan ke halaman login asli, korban dialihkan ke infrastruktur yang dikendalikan oleh peretas.
“Sejak awal Mei 2026, Microsoft Threat Intelligence mengamati Storm-2945 memanipulasi lalu lintas DNS dan HTTP dari jaringan yang dilayani captive portal untuk mengalihkan trafik pengguna melalui infrastruktur yang dikendalikan aktor,” tulis Microsoft dalam laporannya yang dirilis akhir Juli lalu.
Yang bikin kasus ini serius: ReliaQuest mengonfirmasi bahwa target utama kampanye ini adalah pelaku perjalanan bisnis (corporate travelers). Bayangkan eksekutif perusahaan yang sedang dinas luar kota, terhubung ke Wi-Fi hotel, dan tanpa sadar memberikan akses penuh ke akun Microsoft 365 perusahaannya.
Malware CornFlake: RAT Canggih di Balik CaptiveCrunch
Malware utama yang disebarkan dalam kampanye ini adalah CornFlake — sebuah Remote Access Trojan (RAT) untuk Windows yang ditulis dalam bahasa pemrograman Go. CornFlake menyamar sebagai layanan Windows sah bernama svchost32 dengan nama tampilan “Cloud Sync Service” dan deskripsi “Synchronizes files with the cloud storage provider”.
Setelah terinstal, CornFlake membangun mekanisme persistence yang sangat sulit dihapus: Windows service, Registry Run keys, scheduled tasks, dan watchdog routine yang terus berjalan untuk memulihkan komponen yang dihapus oleh endpoint protection.
Untuk komunikasi dengan server C2, CornFlake menggunakan enkripsi Elliptic Curve Diffie-Hellman (ECDH) P-256 dengan kunci sesi ephemeral yang unik. Artinya, trafik terenkripsi tidak bisa didekripsi tanpa kunci privat sesi tersebut — menyulitkan forensik dan deteksi.
Fitur RAT ini sangat lengkap: keylogging, clipboard monitoring, screenshot capture, rekaman audio dan webcam, pencurian kredensial browser, eksfiltrasi file, monitoring perangkat USB, pengumpulan informasi sistem, dan eksekusi perintah jarak jauh. CornFlake juga mengekspos API HTTP lokal untuk memungkinkan malware pendamping menggunakan saluran C2-nya.
Distribusi CornFlake dilakukan melalui halaman ClickFix-style yang menyamar sebagai Windows Update, verifikasi Google, installer DirectX, pembaruan browser, hingga utilitas optimasi disk — apa pun yang terlihat paling meyakinkan di venue tempat korban berada.
ChocoShell: Pencuri Token Microsoft 365 yang Berbahaya
Selain CornFlake, kampanye ini juga menggunakan ChocoShell — infostealer berbasis PowerShell yang berjalan sepenuhnya di memori. Target utamanya adalah kredensial dan token otentikasi.
ChocoShell mengumpulkan token akses Microsoft 365, Azure Active Directory (AD), refresh token, dan Web Account Manager (WAM) token dari file .tbres di Token Broker cache. Menurut Microsoft, “Pengumpulan token ini menghadirkan ancaman serius bagi lingkungan enterprise, karena aktor ancaman dapat memutar ulang sesi SSO tanpa browser cookies.”
ChocoShell juga dilengkapi tiga teknik bypass UAC dengan fallback berurutan, mampu menonaktifkan pembaruan signature Windows Defender, dan yang paling canggih — menggunakan Chrome DevTools Protocol untuk mengekstrak cookie browser dengan meluncurkan Chrome melalui port remote debugging. Teknik ini sepenuhnya mem-bypass App-Bound Encryption Chrome.
ChocoShell bahkan mengumpulkan kredensial Wi-Fi melalui perintah netsh wlan show profile key=clear, memungkinkan peretas menyebar ke jaringan lain secara lateral.
Device Code Phishing: Trik Baru yang Melewati MFA
Microsoft mencatat sejak 16 Juli 2026, halaman landing CaptiveCrunch mulai menggunakan teknik device code phishing. Teknik ini sangat licik: peretas memulai permintaan otentikasi perangkat melalui Microsoft yang sah, lalu menampilkan kode kepada pengguna untuk dimasukkan di halaman login Microsoft yang asli.
Saat pengguna memasukkan kode tersebut, mereka justru mengotentikasi sesi milik peretas — bukan sesi mereka sendiri. Dan karena pengguna baru saja menyelesaikan autentikasi (termasuk MFA), sesi tersebut sudah lolos verifikasi multi-faktor. Microsoft merekomendasikan organisasi untuk memblokir device code flow melalui Conditional Access policies di mana pun fitur ini tidak dibutuhkan secara eksplisit.
Implikasi dan Langkah Pencegahan
Microsoft belum menyebutkan penyedia captive portal yang menjadi celah, tetapi pola infrastruktur yang digunakan menunjukkan kemungkinan akses ke sesuatu yang digunakan bersama di sebagian ekosistem captive portal — bukan sekadar kompromi venue individual.
Saran praktis dari Microsoft untuk para pelaku perjalanan bisnis cukup keras: anggap semua Wi-Fi hotel, konferensi, dan bandara sebagai jaringan berbahaya (hostile). Gunakan mobile hotspot atau data seluler jika memungkinkan. Jangan pernah mengunduh atau menjalankan apa pun yang ditampilkan captive portal sebagai “update”, “certificate”, “troubleshooting tool”, atau “security utility”. Dan jangan masukkan kredensial perusahaan di halaman registrasi venue.
Microsoft juga mengidentifikasi FruitStone — panel C2 berbasis web yang digunakan operator Storm-2945 untuk mengelola seluruh kampanye CaptiveCrunch. FruitStone menyamar sebagai “CloudSync Console” dan menyediakan antarmuka terpusat untuk mengontrol implant CornFlake, menyebarkan payload, mengumpulkan data curian, dan mengelola perangkat yang telah dikompromikan.
Kampanye ini juga menunjukkan pola yang mirip dengan operasi Rusia sebelumnya yang disebut FrostArmada, yang menargetkan router rumahan awal tahun ini. Beberapa peneliti mengaitkan teknik yang digunakan dengan grup APT28 (Fancy Bear/Sofacy/STRONTIUM) — grup peretas Rusia lainnya yang juga diduga terkait dengan intelijen militer Rusia (GRU).
Dikutip dari SecurityAffairs dan Microsoft Threat Intelligence.
Baca Juga:
Leave a Comment