CaptiveCrunch: Wi‑Fi Hotel Bukan Lagi Fasilitas, tapi Medan Tempur
CaptiveCrunch adalah kampanye siber yang memanipulasi portal login Wi‑Fi hotel dan venue publik untuk menyuntikkan malware dan mencuri token autentikasi Microsoft 365 para pelaku perjalanan bisnis, sehingga peretas dapat mengambil alih akun produktivitas kantor tanpa perlu mencuri kata sandi atau memasang malware secara terlihat di perangkat korban. Kampanye ini dioperasikan Storm‑2945, sub‑unit kelompok peretas Rusia Midnight Blizzard, dengan cara membajak captive portal—halaman login yang muncul saat Anda tersambung ke Wi‑Fi hotel atau pusat konferensi. Alur serangannya elegan sekaligus berbahaya: pengguna merasa hanya sedang “login Wi‑Fi”, padahal lalu lintas DNS dan HTTP mereka dialihkan ke infrastruktur musuh. Di era kerja hibrida, inilah wajah baru ancaman malware kantor: jaringan publik yang tampak ramah, namun bertindak sebagai gerbang masuk ke seluruh aset digital perusahaan.
Yang perlu disorot: targetnya bukan pemakai rumahan, tetapi profesional yang membawa akses penuh ke email, dokumen, Teams, hingga Copilot. “Bayangkan eksekutif perusahaan yang sedang dinas luar kota, terhubung ke Wi‑Fi hotel, dan tanpa sadar memberikan akses penuh ke akun Microsoft 365 perusahaannya.” Di sini, keamanan Microsoft 365 bukan lagi isu teknis belaka, melainkan risiko bisnis strategis. Jika token akses dicuri, penyerang bisa memutar ulang sesi SSO dan mengakses data sensitif tanpa harus memicu sistem deteksi berbasis login mencurigakan. Polanya jelas: peretas mengejar titik paling lemah—kebiasaan kita memperlakukan Wi‑Fi publik seolah‑olah aman secara default. Itu asumsi yang perlu dihapus dari budaya kerja modern.
CornFlake dan ChocoShell: Mesin Pencuri Token Akun Produktivitas
Di balik CaptiveCrunch, ada dua senjata utama yang menjadikan ancaman malware kantor ini begitu berbahaya: CornFlake dan ChocoShell. CornFlake adalah Remote Access Trojan (RAT) untuk Windows yang disebar melalui captive portal palsu yang menyamar sebagai Windows Update, verifikasi Google, installer DirectX, pembaruan browser, atau utilitas optimasi disk—apa pun yang terlihat wajar di mata pengguna sibuk. Setelah terpasang, CornFlake menyamar sebagai layanan sah bernama svchost32 dengan nama tampilan “Cloud Sync Service”, membangun persistence melalui Windows service, Registry Run keys, scheduled tasks, dan watchdog routine yang menghidupkan ulang komponennya ketika dibersihkan. Fitur RAT ini lengkap: keylogging, perekaman audio dan webcam, pencurian kredensial browser, eksfiltrasi file, hingga eksekusi perintah jarak jauh.
Namun mesin paling relevan untuk keamanan Microsoft 365 adalah ChocoShell, infostealer berbasis PowerShell yang berjalan sepenuhnya di memori. Fokusnya: perlindungan token akun Anda—yang sayangnya sering diabaikan. ChocoShell mengumpulkan token akses Microsoft 365, Azure AD, refresh token, dan Web Account Manager (WAM) token dari file .tbres di Token Broker cache. Menurut Microsoft, “Pengumpulan token ini menghadirkan ancaman serius bagi lingkungan enterprise, karena aktor ancaman dapat memutar ulang sesi SSO tanpa browser cookies.” Artinya, meski Anda disiplin mengganti password, peretas tetap bisa menyusup selama token masih berlaku. Lebih jauh, ChocoShell dapat mengumpulkan kredensial Wi‑Fi dengan perintah netsh wlan show profile key=clear, membuka peluang pergerakan lateral ke jaringan lain. Di level ini, masalahnya bukan lagi satu laptop terinfeksi, melainkan seluruh ekosistem kantor.
Device Code Phishing dan Pelajaran dari HermeticReader: Token Lebih Berharga dari Password
CaptiveCrunch tidak berhenti pada malware. Sejak pertengahan Juli, operator kampanye ini mengadopsi teknik device code phishing untuk mencuri sesi Microsoft 365 yang sudah lolos autentikasi multi‑faktor. Caranya licik: peretas memulai permintaan otentikasi perangkat melalui jalur resmi Microsoft, lalu menampilkan kode ke korban untuk dimasukkan pada halaman login Microsoft asli. Begitu kode dimasukkan, korban sesungguhnya mengesahkan sesi milik peretas. Karena pengguna baru saja melewati MFA, penyerang mendapatkan sesi yang “bersih” dari sudut pandang sistem keamanan. Ini meruntuhkan mitos bahwa MFA adalah pelindung absolut; tanpa kebijakan Conditional Access yang memblokir device code flow bila tidak diperlukan, keamanan Microsoft 365 tetap keropos.
Pelajaran penting lain datang dari celah HermeticReader di ekstensi Adobe Acrobat PDF di browser berbasis Chromium, yang memungkinkan situs berbahaya mencuri percakapan, daftar kontak, dan bahkan membajak akun WhatsApp Web. Celah ini memanfaatkan hak istimewa ekstensi untuk menembus perlindungan same‑origin dan mengendalikan tab WhatsApp Web. Versi 26.5.2.2 dan sebelumnya rentan, sementara 26.5.2.3 telah diperbaiki. Yang mengkhawatirkan, ekstensi ini terpasang di sekitar 329 juta browser di seluruh dunia. Di sini pola ancamannya sama: serangan tidak selalu butuh malware tradisional atau pencurian password; kadang cukup memanfaatkan ekstensi atau mekanisme token yang dipercaya sistem. Itu sebabnya perlindungan token akun—baik untuk WhatsApp maupun Microsoft 365—harus mulai dianggap prioritas setara dengan perlindungan password.
Strategi Praktis: Mengamankan Microsoft 365 dan Copilot Saat Berada di Wi‑Fi Publik
Dari perspektif profesional kantor, pertanyaan utamanya adalah: bagaimana menjadikan Wi‑Fi publik aman—atau setidaknya seminimal mungkin risikonya? Microsoft menyarankan pelaku perjalanan bisnis untuk menganggap semua Wi‑Fi hotel, konferensi, dan bandara sebagai jaringan berbahaya. Itu sikap yang layak diadopsi perusahaan: berhenti memperlakukan jaringan publik sebagai perpanjangan kantor. Untuk aktivitas yang menyentuh keamanan Microsoft 365, biasakan tiga lapis perlindungan: gunakan VPN perusahaan yang tepercaya, aktifkan autentikasi multi‑faktor, dan hindari login ke layanan penting ketika terpaksa memakai Wi‑Fi tanpa enkripsi end‑to‑end. Gunakan mobile hotspot atau data seluler bila memungkinkan, terutama untuk akses email sensitif, SharePoint, dan Copilot.
Secara operasional, ada beberapa kebiasaan yang perlu diubah. Pertama, jangan pernah mengunduh atau menjalankan apa pun yang ditawarkan captive portal sebagai “update”, “certificate”, “troubleshooting tool”, atau “security utility”. Kedua, jangan masukkan kredensial perusahaan di halaman registrasi venue; gunakan akun tamu atau email sekunder bila harus mengisi formulir. Di sisi endpoint, perusahaan sebaiknya memaksa pembaruan otomatis ekstensi dan aplikasi—seperti pembaruan ke versi Adobe Acrobat 26.5.2.3 yang menutup celah HermeticReader—serta menghapus ekstensi yang tidak diperlukan. Untuk administrator, blokir device code flow melalui kebijakan Conditional Access bila fitur tersebut tidak dibutuhkan. Pesannya jelas: keamanan Microsoft 365 dan perlindungan token akun tidak bisa diserahkan pada alat saja; ia bergantung pada disiplin setiap pekerja yang terhubung ke Wi‑Fi publik.
