Microsoftは、ホテルや会議センターのWi-Fiネットワークを標的にした攻撃キャンペーンを、ロシアの脅威アクターMidnight Blizzardに結びつけた。このキャンペーンでは、DNS設定を変更してMicrosoft 365アカウントを盗むために、CornFlakeとChocoShellという専用のマルウェアが使用されている。このキャンペーンは少なくとも5月初めから活動しており、攻撃者はWi-FiネットワークでDNSとHTTPトラフィックを操作し、ユーザー接続をリダイレクトしている。

CornFlakeはリモートアクセストロジャン（RAT）として機能し、キーロガー、スクリーンショット撮影、マイクとウェブカメラの監視などの機能を持つ。ChocoShellはメモリ内で動作するPowerShellパスワード盗みツールで、ブラウザクッキー、保存されたパスワード、Microsoft 365トークンを標的にしている。Microsoftは、これらのマルウェアの開発に人工知能ツールが使用されたと推測している。

Microsoftは、ホテルや会議のWi-Fiを信頼できないとみなし、可能であればプライベートセルラーまたは管理された接続を使用することを推奨している。また、MFAとパスキーを使用したフィッシングに強い認証の採用や、Microsoft Entraデバイスコード認証を不要な場合に無効化することも推奨されている。