Um único gateway Wi-Fi comprometido em hotéis ou centros de conferência pode silenciosamente redirecionar o tráfego de todos os hóspedes para servidores controlados por atacantes, colocando contas corporativas em risco mesmo quando os usuários acreditam que estão navegando com segurança. A campanha, identificada pela equipe de pesquisa de ameaças da Reliaquest, envolve o envenenamento de respostas DNS em dispositivos de portal cativo para colher credenciais do Microsoft 365 de funcionários em viagem.
Como o ataque funciona
O núcleo do ataque é a comprometimento do gateway. A Reliaquest avalia que os atores de ameaças provavelmente exploram interfaces de gerenciamento expostas, como SSH voltado para a internet, SNMP ou consoles de administração web, usando credenciais fracas ou reutilizadas para obter acesso administrativo aos dispositivos de portal cativo. Uma vez dentro, eles modificam as configurações de DNS para que todos os clientes na rede recebam respostas forjadas que apontam para servidores controlados por atacantes em vez de domínios legítimos da Microsoft.
Essa única alteração transforma o gateway em um adversário no meio para todos os hóspedes. Cada funcionário que se conecta à rede do hotel tem seu tráfego roteado pela infraestrutura do atacante sem qualquer contato direto com seu dispositivo. Não há link de phishing para clicar nem anexo malicioso; o usuário simplesmente abre um navegador e vê uma página de login da Microsoft convincente o suficiente para confiar.
Alvos e impacto
A atividade foi observada em várias cidades nos Estados Unidos, Índia e Arábia Saudita, afetando hóspedes de setores como finanças, direito, saúde, energia e varejo. A Reliaquest observou domínios registrados por atacantes como m365-owa.com, owa-ms365.com, ms365-device.com e ms365-live.com sendo servidos a partir de endereços IP 31.57.243.154 e 104.194.159.150. Esses domínios imitam serviços da Microsoft e são usados para capturar credenciais ou abusar do fluxo de código de dispositivo da Microsoft, dando aos atacantes tokens OAuth e acesso satisfeito com autenticação multifator ao Microsoft 365 sem roubar senhas diretamente.
Em cerca de um terço dos casos observados, o atacante também tentou abusar da descoberta automática de proxy web para que dispositivos Windows buscassem um arquivo de configuração de proxy automático malicioso e roteassem silenciosamente mais tráfego por proxies controlados pelo atacante.
Medidas de defesa recomendadas
O relatório da Reliaquest enfatiza que a VPN sempre ativa com configuração de túnel completo é uma das maneiras mais eficazes de parar este ataque, pois garante que todas as solicitações DNS passem por resolvers corporativos confiáveis antes de chegarem ao gateway do hotel. As organizações também devem auditar exceções de tunelamento dividido que possam permitir que o tráfego DNS ou de autenticação contorne a VPN e impor políticas que bloqueiem o acesso à internet até que o túnel esteja ativo.
A DNS criptografada em modo estrito é o segundo controle-chave. Muitos ferramentas de criptografia DNS de endpoint padrão para modo oportunista, que permite fallback em texto plano quando a resolução criptografada falha. Essa falha torna-se o ponto fraco que o gateway pode redirecionar, então mudar para DNS sobre HTTPS ou DNS sobre TLS remove a chance do atacante de forjar respostas.
Além dos controles de rede, a Reliaquest recomenda desabilitar o WPAD onde não for necessário e restringir a recuperação de arquivos de configuração de proxy automático para hosts internos aprovados se a descoberta automática de proxy deve permanecer habilitada. As organizações também devem treinar funcionários para verificar URLs e certificados antes de inserir credenciais em qualquer página, especialmente ao usar Wi-Fi de hotel ou conferência.
Indicadores de comprometimento (IoCs)
Os seguintes indicadores foram identificados e devem ser monitorados em plataformas de inteligência de ameaças:
- IP address: 38.146.28.75 (DNS poisoning response IP address observed in forged DNS replies)
- IP address: 31.57.243.154 (DNS poisoning response IP hosting ms365-device.com, owa-ms365.com, and m365-owa.com)
- IP address: 104.194.159.150 (IP address of ms365-live.com used for Microsoft impersonation lures)
- Domain: m365-owa.com (Attacker controlled domain impersonating Microsoft 365 Outlook Web Access)
- Domain: owa-ms365.com (Attacker controlled domain used in Microsoft 365 credential harvesting pages)
- Domain: ms365-device.com (Attacker controlled domain hosting operator panel and lure content)
- Domain: ms365-live.com (Attacker controlled domain abusing Microsoft device code authentication flow)
- Email: chikolimdridatgmail.com (Registrant email address linked to attacker registered domains)
O que os CISOs devem fazer agora
As organizações podem fechar o caminho de código de dispositivo bloqueando o fluxo de autenticação de código de dispositivo no provedor de identidade usando políticas de Acesso Condicional no Microsoft Entra ID. A Reliaquest aponta que esse fluxo tem poucos usos legítimos para a maioria dos usuários, então desabilitá-lo por padrão remove uma rota poderosa de comprometimento de conta que os atacantes já usaram em campanhas onde vítimas completam autenticação multifator e depois perdem suas sessões.