Kalau selama ini kamu menganggap remeh peretasan Wi-Fi hotel, berita ini wajib kamu baca. Microsoft Threat Intelligence baru saja membongkar kampanye peretasan Wi-Fi hotel berskala global bernama CaptiveCrunch yang menargetkan wisatawan dan karyawan korporat. Bukan cuma bikin koneksi lemot, hacker Rusia dari kelompok Midnight Blizzard (APT29) kabarnya berhasil membajak halaman login Wi-Fi hotel asli untuk mencuri akun Microsoft 365 dan menyebarkan malware.
Yang bikin kasus ini beda dari serangan Wi-Fi palsu biasa: pelaku gak bikin jaringan tiruan. Mereka justru menyusupi infrastruktur captive portal yang dipakai hotel, pusat konferensi, sampai venue bersama. Jadi halaman login yang muncul di layar kamu itu asli punya hotel, tapi trafiknya diam-diam diarahkan ke server milik peretas. Menyeramkan, kan?
Apa Itu Kampanye Peretasan Wi-Fi Hotel CaptiveCrunch?
CaptiveCrunch adalah nama kampanye yang diungkap Microsoft Threat Intelligence pada 31 Juli 2026. Aktor di baliknya adalah Storm-2945, sub-cluster dari Midnight Blizzard atau APT29, kelompok peretas yang oleh pemerintah AS dan Inggris dikaitkan dengan SVR, badan intelijen luar negeri Rusia.
Sejak awal Mei 2026, Storm-2945 memanipulasi lalu lintas DNS dan HTTP dari jaringan yang dilayani captive portal. Alih-alih diarahkan ke halaman login asli, korban dialihkan lewat infrastruktur yang dikendalikan aktor. Microsoft juga menemukan pola infrastruktur yang mirip di banyak jaringan terdampak, jadi kemungkinan besar ini bukan kompromi satu-dua hotel saja, melainkan akses ke layanan bersama di ekosistem captive portal.
Menariknya, Microsoft menyebut kampanye ini memanfaatkan AI untuk sebagian besar operasinya, mulai dari penulisan kode malware sampai penyusunan halaman phishing yang meyakinkan. ReliaQuest, perusahaan keamanan yang ikut memantau, menilai target utama operasi ini adalah akun para pelaku perjalanan bisnis.
CornFlake: RAT Canggih yang Menyamar Jadi Layanan Windows
Malware pertama yang dipakai adalah CornFlake, Remote Access Trojan (RAT) berbasis Go yang jadi implant utama Storm-2945. Begitu dieksekusi, CornFlake menampilkan jendela palsu yang meniru Windows Update, pemindaian Windows Security, installer DirectX, sampai utilitas optimasi disk. Semua itu cuma pengalih perhatian biar kamu gak sadar file berbahaya lagi jalan di belakang.
Setelah terpasang, CornFlake mendaftarkan diri sebagai layanan Windows bernama svchost32 dengan nama tampilan “Cloud Sync Service”. Persistensinya dobel: Windows service, Registry Run keys, scheduled tasks, plus watchdog yang terus memulihkan komponen kalau dihapus antivirus. Komunikasi ke server C2 pakai enkripsi ECDH P-256 dengan kunci ephemeral unik tiap sesi, jadi trafiknya nyaris mustahil didekripsi.
Kemampuannya gak main-main: keylogging, memantau clipboard, screenshot, merekam audio dari mikrofon dan video dari webcam, mencuri kredensial browser (termasuk bypass App-Bound Encryption Chrome), eksfiltrasi file, sampai remote shell. File yang diambil bisa sampai 1.000 file atau 500 MB per siklus upload.
ChocoShell: Pencuri Token Microsoft 365
Malware kedua bernama ChocoShell, infostealer berbasis PowerShell yang jalan sepenuhnya di memori. Tugas utamanya mencuri cookie browser, kata sandi tersimpan, token Microsoft 365 dan Azure AD, refresh token, sampai kredensial Wi-Fi via perintah netsh wlan show profile key=clear.
ChocoShell juga punya tiga teknik bypass UAC berurutan, bisa melumpuhkan pembaruan signature Windows Defender, dan memakai Chrome DevTools Protocol buat mengekstrak cookie lewat port remote debugging. Token yang dicuri dari cache Token Broker bisa dipakai buat replay sesi SSO tanpa cookie browser sama sekali. Bahaya banget buat lingkungan enterprise.
Device Code Phishing: Trik yang Bisa Menembus MFA
Sejak 16 Juli 2026, halaman landing CaptiveCrunch mulai memakai teknik device code phishing. Peretas memulai permintaan autentikasi perangkat lewat Microsoft yang sah, lalu menyuruh korban memasukkan kode di halaman login Microsoft asli. Padahal kode itu mengautentikasi sesi milik peretas, bukan sesi korban.
Karena korban baru aja menyelesaikan autentikasi termasuk MFA, sesi tersebut dianggap sah oleh sistem. Ini kenapa Microsoft menyarankan organisasi memblokir device code flow lewat Conditional Access kalau fiturnya gak benar-benar dibutuhkan.
Baca juga: Aplikasi Android Bocorkan Data Lokasi: Ini yang Harus Kamu Tahu
Kenapa Wisatawan dan Karyawan Bisnis Jadi Sasaran Utama?
ReliaQuest mengonfirmasi bahwa target utama CaptiveCrunch adalah pelaku perjalanan bisnis. Logikanya sederhana: eksekutif yang dinas luar kota pasti butuh internet, dan Wi-Fi hotel adalah pilihan paling praktis. Justru di situ celahnya, korban peretasan Wi-Fi hotel biasanya baru sadar akunnya dicuri setelah pulang ke kantor dan email perusahaannya udah kebobolan. Kalau laptop kantor mereka terinfeksi, peretas bisa masuk ke akun Microsoft 365 perusahaan, baca email, sampai eksfiltrasi dokumen internal.
Selain Windows, Microsoft juga menemukan indikasi target Android. Halaman ClickFix yang dipakai kampanye ini punya instruksi khusus buat mengunduh dan memasang file APK. Jadi bukan cuma pengguna laptop yang perlu waspada.
Cara Melindungi Diri dari Peretasan Wi-Fi Hotel
Microsoft sendiri menyebut Wi-Fi hotel, bandara, dan pusat konferensi harus dianggap sebagai jaringan bermusuhan (hostile). Beberapa langkah praktis yang bisa kamu lakukan:
- Utamakan koneksi data seluler pribadi, eSIM, atau mobile hotspot buat akses layanan sensitif kayak email kantor dan internet banking
- Jangan pernah mengunduh pembaruan software, sertifikat, atau utilitas yang muncul dari halaman login Wi-Fi atau pop-up mencurigakan
- Selalu verifikasi pembaruan lewat kanal resmi sistem operasi, bukan dari prompt di browser
- Aktifkan MFA dan pakai passkey kalau akunmu mendukung
- Jangan pakai kredensial korporat di halaman registrasi Wi-Fi hotel
- Kalau perangkat kantor dikelola IT, aktifkan kebijakan yang melarang koneksi ke Wi-Fi yang gak terprovisi MDM
Penting juga buat paham pola ClickFix: halaman palsu yang minta kamu menyalin perintah lalu menempelkannya ke cmd.exe atau PowerShell. Kalau ada prompt kayak gitu muncul setelah connect Wi-Fi, langsung tutup. Itu bukan verifikasi, itu eksekusi malware.
Baca juga: Suno Data Breach: 55 Juta User Generator Musik AI Bocor, Apa yang Harus Kamu Lakukan?
Kesimpulan
Kampanye CaptiveCrunch nunjukin kalau serangan ke Wi-Fi publik udah naik kelas. Dulu kita cuma waspada sama jaringan Wi-Fi gratis yang gak jelas siapa yang bikin, sekarang jaringan resmi hotel pun bisa dibajak. Kabar baiknya, mitigasinya gak rumit: jauhi unduhan mencurigakan, prioritaskan data seluler, dan aktifkan MFA.
Buat kamu yang sering traveling atau dinas luar kota, mulai sekarang anggap setiap Wi-Fi publik sebagai zona bahaya. Satu langkah kecil kayak gak klik tombol “Update” di pop-up bisa menyelamatkan akun kantor kamu dari tangan SVR.
FAQ
Apa itu kampanye CaptiveCrunch?
Kampanye peretasan Wi-Fi hotel yang diungkap Microsoft pada Juli 2026, dilakukan kelompok Storm-2945 dari Midnight Blizzard (APT29) untuk mencuri kredensial Microsoft 365 dan menyebarkan malware ke pelaku perjalanan bisnis.
Apakah Wi-Fi hotel aman dipakai?
Gak sepenuhnya. Microsoft menyarankan semua Wi-Fi publik dianggap tidak tepercaya, dan mengutamakan data seluler untuk aktivitas sensitif. Risiko peretasan Wi-Fi hotel memang kecil peluangnya, tapi dampaknya bisa sangat besar kalau kena.
Bagaimana cara kerja serangan ini?
Peretas membajak captive portal hotel, mengarahkan trafik pengguna ke infrastruktur mereka, lalu menampilkan halaman login palsu atau update palsu yang menginfeksi perangkat.
Apa itu CornFlake dan ChocoShell?
Dua malware utama CaptiveCrunch. CornFlake adalah RAT Windows untuk akses jarak jauh dan pencurian data, sedangkan ChocoShell adalah infostealer PowerShell yang mencuri token Microsoft 365 dan cookie browser.
Sumber
Microsoft Security Blog: CaptiveCrunch: Midnight Blizzard targets travelers worldwide
Media Indonesia: Microsoft Peringatkan Modus Baru Peretasan Lewat Wi-Fi Publik di Hotel
AndroidPonsel: Peretas Rusia Bajak Wi-Fi Hotel untuk Curi Token Microsoft 365
