Dai primi giorni di maggio Microsoft Threat Intelligence segue una campagna che manipola il traffico DNS e HTTP delle reti Wi-Fi servite da portali captive, quelle di hotel e centri congressi a cui i viaggiatori d'affari si collegano di passaggio, per dirottare gli ospiti verso pagine di accesso contraffatte e falsi aggiornamenti software. L'azienda la chiama CaptiveCrunch e la attribuisce a Storm-2945, sotto-gruppo operativo di Midnight Blizzard, l'attore che Stati Uniti e Regno Unito riconducono all'SVR, il servizio di intelligence estera della Federazione Russa. Le compromissioni riguardano reti di pi� Paesi, che Microsoft non elenca, e un numero di sedi, organizzazioni e persone colpite che il rapporto non quantifica.
Le operazioni di phishing su codici device e OAuth del gruppo vanno avanti da febbraio, con l'IA a sostenere una porzione significativa del lavoro secondo la ricostruzione di Microsoft. Chi si collega a una delle reti compromesse viene instradato attraverso infrastruttura controllata dall'attore: una parte del traffico finisce su domini sosia che imitano i servizi online Microsoft, allestiti per un attacco adversary-in-the-middle che abusa del flusso di autenticazione device code di Microsoft Entra ID. L'esito � la registrazione di un dispositivo dell'attaccante in Entra e la successiva raccolta di dati da Microsoft 365; questa porzione della campagna era gi� stata ricostruita da ReliaQuest il 23 luglio, e Microsoft la cita nel proprio rapporto.
