Les espions russes transforment le Wi-Fi public en systèmes de diffusion de logiciels malveillants

Les participants à la conférence voudront peut-être réfléchir à deux fois avant de se connecter au Wi-Fi public après que Microsoft a révélé que des agents du renseignement extérieur russe (SVR) compromettaient les réseaux de portails captifs pour diffuser des voleurs d’informations, des enregistreurs de frappe et d’autres logiciels malveillants.

Avec l’aide des travaux antérieurs de ReliaQuest, Redmond a pointé du doigt Storm-2945, une subdivision du Midnight Blizzard du SVR (alias Nobellium), dans une campagne d’attaque ciblant les utilisateurs de réseaux Wi-Fi publics dans des endroits tels que des hôtels, des centres de conférence et d’autres lieux partagés dans le secteur hôtelier.

Microsoft tente toujours de déterminer comment les pirates ont initialement compromis les réseaux de portails captifs. L’opération plus large assistée par l’IA date de février 2026, avec une manipulation du trafic observée depuis début mai.

Après avoir pris le contrôle de la couche réseau, Storm-2945 manipule le trafic DNS et HTTP pour rediriger les utilisateurs via une infrastructure contrôlée par les attaquants, a déclaré Microsoft. L’équipage abuse également des contrôles de connectivité des systèmes d’exploitation pour déclencher des invites et des redirections malveillantes.

Cela donne aux attaquants une position d’adversaire au milieu (AitM).

Ces invites adoptent des méthodes de type ClickFix, qui tentent dans certains cas de convaincre les utilisateurs de réseaux Wi-Fi publics d’installer des logiciels malveillants sous couvert de mises à jour du système d’exploitation, de réparations de pilotes et d’échecs de vérification Web.

Les utilisateurs qui suivent les instructions fournies dans les invites peuvent alors trouver leur appareil infecté par des logiciels malveillants.

Microsoft appelle la campagne « CaptiveCrunch ». L’une des souches de logiciels malveillants qu’il diffuse est CornFlake.

Décrit comme « un RAT Windows complet » écrit en Go, CornFlake est l’implant persistant incontournable du SVR dans ces attaques de réseaux hôteliers. Après avoir présenté aux utilisateurs une fausse fenêtre de progression de mise à jour Windows « convaincante », il offre aux attaquants une multitude de fonctionnalités une fois installé.

Ceux-ci incluent :

• Enregistrement de frappe

• Surveillance du presse-papiers

• Capture d’écran

• Surveillance audio

• Vidéosurveillance

• Vol d’identifiants de navigateur

• Exfiltration de fichiers

• Surveillance de clé USB

• Balayage de la posture de sécurité

• Coque distante

Microsoft a également déclaré que CornFlake expose un serveur API HTTP localhost pour transformer le malware en une plate-forme modulaire, fournissant des charges utiles supplémentaires telles que ChocoShell, un voleur d’informations basé sur PowerShell.

ChocoShell est livré et exécuté entièrement en mémoire, a déclaré Microsoft. SVR l’utilise principalement pour aspirer les cookies de session de navigateur, les mots de passe enregistrés, les jetons SSO et les informations d’identification Wi-Fi des victimes.

Microsoft a parfaitement résumé les deux : « Là où CornFlake fournit à l’opérateur un point d’ancrage persistant et de longue durée sur l’appareil, ChocoShell est conçu pour extraire les informations d’identification les plus utiles sur le plan opérationnel, donnant à l’opérateur l’accès aux environnements cloud des victimes. »

Les attaques ciblent principalement les machines Windows, mais Microsoft a également constaté des indications d’invites ClickFix adaptées aux appareils Android, encourageant les utilisateurs à télécharger et installer un fichier APK.

En plus de l’élément malveillant, « une partie » de l’activité CaptiveCrunch de SVR est consacrée au phishing par code d’appareil.

Les utilisateurs envoyés vers des pages de destination contrôlées par un attaquant peuvent être invités à saisir un code de périphérique sur une page d’authentification Microsoft légitime, autorisant ainsi involontairement la session de l’attaquant.

Le phishing par code d’appareil exploite un flux OAuth légitime, généralement réservé aux appareils qui ont du mal à ouvrir les navigateurs, tels que les téléviseurs intelligents.

Dans de tels scénarios, les attaquants demandent un code d’authentification à Microsoft, qu’ils envoient ensuite aux cibles de phishing. Dans la campagne CaptiveCrunch, cela ressemble à une fausse page de destination, servie à l’utilisateur grâce au composant AitM de l’attaque.

Les cibles sont ensuite invitées à copier le code initialement fourni à l’attaquant, à ouvrir une fenêtre d’authentification Microsoft légitime, à saisir le code et à choisir le compte qu’elles souhaitent authentifier. Le choix du compte complète le flux d’authentification, mais authentifie à son tour l’attaquant dans le compte choisi.

Cela donne à l’attaquant un jeton OAuth valide pour le compte Microsoft 365 de la victime, accordant potentiellement l’accès aux données cloud autorisées par le jeton jusqu’à son expiration ou sa révocation.

Le phishing par code d’appareil n’est pas une attaque nouvelle ou unique, mais peut constituer un moyen efficace de contourner la MFA, en particulier lorsqu’un attaquant contrôle déjà le flux de trafic après la compromission d’un portail captif.

« Cette activité est cohérente avec les opérations de phishing de code d’appareil précédemment signalées et menées par Midnight Blizzard depuis août 2024 », a déclaré Microsoft.

« La technique observée ne semble pas fondamentalement nouvelle ; cependant, l’intégration du phishing par code d’appareil dans les opérations de portail captif et de manipulation du trafic pourrait augmenter la probabilité que les utilisateurs perçoivent la demande d’authentification comme légitime. »

Le principal point à retenir, dans le livre de Microsoft, est de cesser de faire autant confiance au Wi-Fi public.

Il n’a pas complètement découragé l’utilisation des services Wi-Fi des réseaux hôteliers, mais a déclaré qu’il était plus sûr de privilégier les points d’accès personnels et les connexions Internet par satellite sur les réseaux publics.

La majorité des conseils de Redmond pourraient être regroupés dans le cadre de l’éducation des utilisateurs : ne faites pas confiance aux réseaux publics ; apprendre aux utilisateurs à ne pas télécharger de mises à jour sur les réseaux publics ou via des invites ; informez les utilisateurs sur ce à quoi ressemblent les attaques ClickFix. Ce genre de choses.

Mais les organisations ont aussi un rôle à jouer. Entre autres implémentations techniques, l’authentification sans mot de passe peut contrecarrer de nombreuses techniques de phishing, bien que le phishing par code d’appareil puisse même contourner les clés d’accès.

La meilleure réponse serait pour un employeur de désactiver complètement le flux d’authentification par code d’appareil, dans la mesure du possible, afin d’empêcher les employés de céder l’accès au cloud de leur lieu de travail à des attaquants. ®