Ces derniers jours, une nouvelle campagne d’espionnage numérique a mis en lumière un vecteur d’attaque particulièrement retors : le captive portal. Selon Microsoft, un acteur parrainé par l’État russe aurait utilisé des équipements d’accès Wi‑Fi compromis pour dérober des identifiants et des jetons de session, ciblant notamment des employés en déplacement.
Le fil conducteur de l’incident est clair : dans des environnements où les utilisateurs sont redirigés vers une page d’authentification (hôtels, centres de conférence et autres lieux partagés), des attaquants peuvent manipuler le trafic et se placer au milieu des échanges. Résultat : des données d’accès légitimes, destinées à des services comme Microsoft 365, peuvent être capturées.
Quand le captive portal devient un point d’entrée
Le captive portal est un dispositif courant dans les réseaux Wi‑Fi publics. Il intercepte la connexion des visiteurs et les renvoie vers une interface pour valider l’accès. C’est précisément dans ce parcours que l’attaque prend forme : d’après les informations rapportées, les pirates auraient modifié des paramètres réseau, en particulier les réglages DNS, pour orienter les utilisateurs vers des infrastructures contrôlées.
ReliaQuest a été l’un des premiers acteurs à signaler l’activité : une partie des routeurs SOHO (small office/home office) compromis aurait reçu des changements de configuration, notamment au niveau du DNS, afin de détourner les redirections. Cette approche sert un objectif simple : créer un chemin “fiable” côté utilisateur tout en dirigeant le trafic vers l’attaquant.
Une attaque de type “homme du milieu” sur les identifiants
Microsoft indique que les assaillants ont employé une technique d’adversary-in-the-middle (AitM) pour intercepter les identifiants Microsoft 365 d’employés itinérants. L’attaque vise alors des données d’authentification en transit, au moment où l’utilisateur croit entrer dans un processus normal de connexion.
Le périmètre sectoriel évoqué est large : services financiers, services professionnels, cabinets juridiques, santé, énergie et commerce de détail. Une campagne de ce type ne cherche pas seulement des comptes “au hasard” ; elle privilégie un contexte où les victimes se connectent régulièrement en mobilité.
CaptiveCrunch : l’implication de Midnight Blizzard
Au départ, l’activité avait été rapprochée d’opérations ayant des similitudes avec FrostArmada, une opération d’espionnage associée à des acteurs russes tels que APT28. Toutefois, Microsoft explique ensuite que la campagne serait attribuable à Storm-2945, un sous-groupe de Midnight Blizzard, connu sous plusieurs appellations (notamment APT29, Cozy Bear, ou d’autres noms). L’acteur est considéré comme soutenu par des services liés à la renseignement étranger.
Midnight Blizzard est décrit comme particulièrement orienté vers la collecte d’informations, notamment auprès d’entités gouvernementales, d’organisations non gouvernementales et de prestataires informatiques. Dans ce cadre, la compromission de comptes valides est une stratégie récurrente, parfois accompagnée de méthodes avancées pour étendre l’accès et réduire les chances de détection.
Manipulation DNS et trafic HTTP dans les lieux partagés
D’après Microsoft, Storm-2945 a commencé à agir dès le mois de mai en manipulant le DNS et le trafic HTTP au sein de réseaux de type captive portal, typiquement présents dans les hôtels, centres d’événements et autres espaces partagés.
L’hypothèse avancée est que l’accès n’aurait pas forcément reposé sur une intrusion “directe” dans chaque appareil, mais sur l’exploitation de services partagés au sein de l’écosystème de captive portal. En pratique, cela signifie que plusieurs sites pourraient être affectés à partir d’une source ou d’un service commun.
Des charges utiles déguisées en “mise à jour”
Dans le cadre de CaptiveCrunch, les attaquants auraient servi des RAT (remote access trojans) basés sur Golang, présentés sous la forme de “mises à jour” du navigateur. Cette mise en scène vise à déclencher le téléchargement et l’exécution de composants malveillants sur la machine de la victime, souvent au moment où l’utilisateur interagit avec l’environnement du réseau public.
Les capacités rapportées vont au-delà du simple vol d’accès : collecte de codes, d’informations et de jetons de session, surveillance audio/vidéo, récupération de fichiers et de frappes clavier, ainsi que l’accès à distance via une console.
Menace aussi sur Android via des méthodes ClickFix
Microsoft mentionne aussi des techniques de type ClickFix pour pousser les utilisateurs à installer le malware. Dans cette campagne, une partie de l’effort aurait ciblé des utilisateurs Android en les incitant à récupérer et installer un fichier APK.
Ce point est important : la logique d’attaque exploitant les habitudes de connexion en mobilité peut s’étendre aux plateformes mobiles, où les utilisateurs sont parfois encore plus dépendants de parcours d’authentification “simplifiés”.
Gestion de l’infrastructure et contrôle à distance
Pour piloter les agents et gérer les différentes étapes, l’acteur aurait utilisé un panneau de commande et contrôle basé sur le web, baptisé FruitStone. Ce type d’infrastructure permet de coordonner à distance les opérations : exécution des modules, collecte des informations et adaptation du comportement.
Du côté des implants évoqués, Microsoft cite notamment des composants associés à des familles telles que CornFlake (pour Windows), ainsi que ChocoShell (implant infostealer basé sur PowerShell). L’objectif reste identique : établir une présence persistante et monétiser la collecte d’informations.
Pages d’atterrissage et hameçonnage du code de périphérique
Un aspect particulièrement préoccupant concerne l’évolution des pages utilisées après la compromission du flux. Microsoft rapporte que, sur les deux dernières semaines observées, certaines pages d’atterrissage seraient capables de rediriger vers un parcours d’authentification par code de périphérique.
L’instruction donnée aux victimes consiste à entrer un code de périphérique dans les pages de connexion Microsoft afin d’authentifier la session de l’attaquant. Microsoft précise que cette activité s’inscrit dans la continuité d’opérations déjà signalées depuis août 2024, tout en notant que l’assemblage avec une exploitation du captive portal et la manipulation du trafic peut rendre la demande d’authentification plus crédible aux yeux de l’utilisateur.
Autrement dit : la technique n’est peut-être pas “nouvelle” prise isolément, mais sa combinaison dans un contexte de réseau public et de redirections rend l’attaque plus convaincante.
Ce que Microsoft dit de l’ampleur des compromissions
Microsoft indique avoir identifié une compromission étendue de réseaux Wi‑Fi dans des organisations liées à l’hôtellerie et d’autres environnements servis par des équipements de captiva portal. L’impact n’est pas cantonné à une seule zone géographique : des activités auraient été observées dans plusieurs pays.
En parallèle, la société met en avant le fait que Midnight Blizzard, historiquement, privilégie l’accès via des comptes valides. Cette approche augmente la discrétion : les connexions peuvent sembler “normales” du point de vue des contrôles standards.
Comment se protéger face aux attaques par captive portal
Face à ce type de campagne, les organisations doivent considérer que la sécurité ne se limite pas à l’authentification finale. Le captive portal et la chaîne réseau qui l’alimente font partie du risque.
- Renforcer la surveillance réseau : détecter des changements DNS anormaux ou des redirections inattendues dans les flux Wi‑Fi publics.
- Limiter les privilèges : réduire ce que des comptes compromis peuvent faire, via des contrôles d’accès et des politiques de moindre privilège.
- Former les utilisateurs mobiles : rappeler que les demandes de codes et les parcours d’authentification “attendus” doivent être vérifiés, surtout en déplacement.
- Surveiller les accès aux services : analyser les connexions suspectes vers Microsoft 365 et les comportements incohérents avec l’historique habituel.
Enfin, si vous gérez des réseaux avec captive portal, il est essentiel de vérifier les fournisseurs, les configurations et les dépendances de l’écosystème. Une compromission en amont peut contaminer l’ensemble du parcours utilisateur.
Conclusion
La campagne CaptiveCrunch attribuée à Storm-2945 (sous-groupe de Midnight Blizzard) montre comment un captive portal peut devenir un levier d’attaque : manipulation DNS/HTTP, interception AitM, leurres sous forme de mises à jour et utilisation de parcours d’authentification par code de périphérique pour renforcer la crédibilité.
Pour les organisations, la priorité est de sécuriser l’ensemble du chemin d’accès — du réseau Wi‑Fi public jusqu’au service cloud. En combinant surveillance active, réduction des privilèges et sensibilisation des utilisateurs, il devient possible de réduire l’efficacité de ce type de vol d’identifiants et de sessions.
Source: https://www.securityweek.com/russian-state-apt-linked-to-recent-public-wi-fi-gateway-hacking/
