Peretas Rusia Serang Wi-Fi Hotel untuk Mencuri Akun Microsoft 365 dengan Malware Baru

Microsoft mengungkap kampanye serangan siber global yang menargetkan jaringan Wi-Fi hotel dan pusat konferensi. Serangan ini dikaitkan dengan kelompok peretas asal Rusia Midnight Blizzard (APT29), yang menggunakan malware khusus untuk mencuri kredensial dan mengambil alih akun Microsoft 365 milik para korban.

Kampanye yang diberi nama CaptiveCrunch ini diperkirakan telah berlangsung sejak awal Mei 2026. Selain mencuri akun Microsoft 365 melalui halaman login palsu, pelaku juga diketahui menyebarkan dua keluarga malware baru bernama CornFlake dan ChocoShell.

Menyusupi Jaringan Wi-Fi Hotel

Menurut Microsoft, pelaku memanipulasi konfigurasi DNS dan lalu lintas HTTP pada perangkat captive portal yang digunakan oleh jaringan Wi-Fi hotel maupun pusat konferensi.

Dengan cara tersebut, koneksi pengguna dapat dialihkan ke berbagai halaman berbahaya, antara lain:

• Halaman login Microsoft 365 palsu.
• Halaman phishing berbasis Microsoft Entra ID Device Code.
• Halaman pembaruan browser atau sistem operasi palsu yang mengarahkan pengguna menginstal malware.

Microsoft belum dapat memastikan bagaimana pelaku pertama kali berhasil menyusup ke infrastruktur tersebut. Namun, indikasi yang ditemukan menunjukkan bahwa serangan kemungkinan terjadi pada infrastruktur bersama, bukan hanya pada satu perangkat tertentu.

Selain menargetkan pengguna Windows, Microsoft juga menemukan indikasi bahwa pelaku berusaha mendistribusikan file APK kepada pengguna Android melalui halaman serangan yang sama.

ClickFix Digunakan untuk Menipu Korban

Dalam salah satu skenario serangan, korban diarahkan ke halaman yang menampilkan proses pembaruan Windows atau browser palsu.

Melalui teknik ClickFix, pengguna diminta melakukan tindakan tertentu dengan alasan verifikasi atau pembaruan sistem. Setelah mengikuti instruksi tersebut, malware akan diunduh dan dijalankan pada perangkat korban.

Metode ini memanfaatkan kepercayaan pengguna terhadap halaman captive portal yang biasanya muncul saat pertama kali terhubung ke jaringan Wi-Fi publik.

CornFlake RAT Memiliki Fitur Lengkap

Microsoft mengidentifikasi malware utama dalam kampanye ini sebagai CornFlake, sebuah Remote Access Trojan (RAT) yang dikembangkan menggunakan bahasa Go.

Malware ini memiliki berbagai kemampuan berbahaya, di antaranya:

• Akses shell jarak jauh.
• Pencatatan penekanan tombol (keylogger).
• Pemantauan clipboard.
• Pengambilan tangkapan layar.
• Pengawasan mikrofon dan webcam.
• Pencurian password serta cookie browser.
• Pencurian token sesi Microsoft 365.
• Eksfiltrasi file.
• Pemantauan perangkat USB.
• Pengumpulan informasi sistem.

Saat dijalankan, CornFlake akan menampilkan jendela proses palsu agar pengguna tidak curiga. Tampilan tersebut dapat disamarkan sebagai:

• Pembaruan Windows.
• Pemindaian antivirus Microsoft Defender.
• Optimasi disk.
• Diagnostik jaringan.
• Pembaruan browser.
• Instalasi document viewer.

Sementara itu, malware diam-diam menyalin dirinya ke folder %AppData% dan memasang berbagai mekanisme persistence agar tetap aktif meskipun sebagian komponennya berhasil dihapus.

CornFlake juga menyamar sebagai layanan Windows bernama Cloud Sync Service untuk mengurangi kemungkinan terdeteksi oleh pengguna.

ChocoShell Fokus Mencuri Kredensial

Payload kedua dalam kampanye ini adalah ChocoShell, malware berbasis PowerShell yang berjalan langsung di memori tanpa meninggalkan banyak jejak pada disk.

Target utama ChocoShell meliputi:

• Cookie browser.
• Password yang tersimpan.
• Token Microsoft 365.
• Token Azure AD.
• Kredensial jaringan Wi-Fi.

Microsoft menilai pendekatan ini membuat malware lebih sulit dideteksi oleh solusi keamanan tradisional.

Diduga Dikembangkan dengan Bantuan AI

Selama analisis, Microsoft menemukan banyak komentar pada kode sumber kedua malware tersebut yang mengindikasikan kemungkinan penggunaan alat berbasis kecerdasan buatan (AI) dalam proses pengembangannya.

Selain malware, peneliti juga menemukan panel manajemen berbasis web tanpa perlindungan yang diberi nama FruitStone.

Panel tersebut memungkinkan operator untuk:

• Mengelola perangkat yang telah terinfeksi.
• Menjelajahi file korban.
• Menjalankan perintah PowerShell.
• Mengambil screenshot.
• Merekam aktivitas keyboard.

Keberadaan panel ini menunjukkan bahwa pelaku memiliki infrastruktur yang cukup matang untuk mengelola operasi dalam skala besar.

Microsoft Imbau Waspadai Wi-Fi Publik

Microsoft mengingatkan agar jaringan Wi-Fi hotel maupun pusat konferensi selalu dianggap sebagai jaringan yang tidak sepenuhnya tepercaya.

Sebagai langkah mitigasi, pengguna disarankan untuk:

• Menggunakan koneksi seluler pribadi atau jaringan yang dikelola sendiri apabila memungkinkan.
• Tidak menginstal pembaruan perangkat lunak yang ditawarkan melalui captive portal.
• Mengaktifkan autentikasi yang tahan terhadap phishing, seperti MFA dan passkey.
• Menonaktifkan autentikasi Microsoft Entra Device Code apabila tidak diperlukan.
• Tidak menggunakan kredensial akun perusahaan saat melakukan registrasi pada jaringan Wi-Fi tamu.

Dengan semakin canggihnya teknik yang digunakan dalam kampanye ini, pengguna maupun organisasi perlu lebih berhati-hati saat memanfaatkan jaringan Wi-Fi publik, terutama di lokasi seperti hotel dan pusat konferensi.

Sumber: Microsoft