Un simple réseau Wi‑Fi d’hôtel peut devenir un vecteur d’attaque. Selon les analyses de Microsoft, des fausses mises à jour présentées à des voyageurs via une connexion “captive” ont servi à déclencher le téléchargement d’un malware d’espionnage. Le mécanisme combine redirection du trafic, pages conçues pour tromper l’utilisateur, et collecte d’informations sensibles une fois l’implant installé.
Dans cet article, nous expliquons le fonctionnement, les éléments techniques décrits par les chercheurs et surtout les gestes concrets pour réduire le risque en déplacement.
Comment des fausses mises à jour apparaissent sur le Wi‑Fi d’hôtel
Le scénario étudié commence sur des réseaux d’hébergement où l’accès Internet passe par un portail captif. Quand la passerelle du portail “contrôle” l’orientation des connexions, les attaquants peuvent influencer la résolution DNS et rediriger l’utilisateur vers des pages soigneusement préparées.
Dans les environnements examinés, le portail captif agit aussi comme résolveur DNS pour les appareils connectés. En prenant la main sur cette passerelle, l’attaque peut modifier les réponses DNS envoyées aux clients et orienter des requêtes vers de faux contenus. Le résultat : un contrôle de destination qui peut amener l’utilisateur à “accepter” une mise à jour ou une procédure qui n’existe pas.
Redirection vers de faux check de connexion
Les chercheurs indiquent que la manipulation peut détourner les vérifications automatiques de connectivité effectuées par un ordinateur portable. Au lieu d’aboutir vers l’original, l’appareil est guidé vers un faux écran d’actualisation… ou un faux parcours système.
Pages “guidées” par des instructions de type ClickFix
Dans certains cas, les pages affichent des instructions du type “ouvrrez un terminal” ou “exécutez cette commande Windows” fournie par l’attaquant. Point important : la passerelle ne “contamine” pas silencieusement la machine. La victime doit toujours télécharger ou exécuter le composant malveillant.
Autrement dit, l’attaque repose sur l’ingénierie sociale, renforcée par le fait que l’interface ressemble à une page de mise à jour ou d’assistance provenant du réseau.
CaptiveCrunch et CornFlake : un enchaînement orienté espionnage
Microsoft décrit l’opération comme liée à une campagne appelée CaptiveCrunch. L’implant final est associé à CornFlake, un cheval de Troie d’accès à distance (RAT) écrit en Go.
Les analyses attribuent l’activité à un groupe suivi sous le nom Storm-2945 et le considèrent comme un sous-ensemble opérationnel d’un cluster plus large. Les gouvernements américains et britanniques associent ce cluster à des services russes, avec des références liées à APT29 (aussi connu sous des surnoms tels que Cozy Bear) et à l’agence de renseignement étrangère correspondante.
À noter : Microsoft présente ici un lien d’évaluation. Les éléments d’attribution décrits reposent sur les pratiques observées (techniques et comportements), et les rapports publics disponibles ne quantifient pas l’ampleur réelle du déploiement.
Ce que fait CornFlake une fois exécuté
D’après Microsoft, CornFlake se copie dans le répertoire %APPDATA% sous un nom de type svchost32.exe, puis enregistre un service affiché sous la dénomination Cloud Sync Service. Pendant la préparation, une fenêtre de progression fictive est affichée afin de détourner l’attention et de donner une apparence de processus légitime.
Une fois en place, l’implant peut :
- capturer des captures d’écran déclenchées par l’inactivité ;
- enregistrer l’audio du microphone ;
- intercepter des frappes clavier ;
- collecter le contenu du presse‑papiers (avec le contexte de la fenêtre active) ;
- voler des cookies et des mots de passe enregistrés dans le navigateur, y compris des cookies protégés par une fonctionnalité d’isolation applicative de Chrome (Chrome App‑Bound Encryption) ;
- explorer des supports amovibles ;
- ouvrir un shell à distance ;
Pour se maintenir, l’implant s’appuie aussi sur une clé Run du registre et sur une tâche planifiée. Microsoft indique en plus la présence d’un “watchdog” : si les mécanismes de persistance sont retirés par des défenseurs, un processus de surveillance peut tenter de les restaurer.
ChocoShell : un voleur de scripts PowerShell en mémoire
Les chercheurs mentionnent également ChocoShell, un composant décrit comme un stealer PowerShell en mémoire. Son rôle : extraire des jetons d’authentification et des éléments d’accès associés.
Concrètement, il collecte des access tokens et refresh tokens liés à Microsoft 365 et à Azure Active Directory, ainsi que des jetons WAM depuis des fichiers .tbres dans un cache appelé Token Broker.
L’intérêt pour l’attaquant est majeur : ces jetons peuvent permettre une reprise de session (session replay) sans nécessiter forcément un cookie navigateur, ce qui complique la détection basée uniquement sur des traces web classiques.
Le risque supplémentaire : redirection vers l’authentification de Microsoft
Au-delà des fausses mises à jour qui mènent à un exécutable, les analyses soulignent un autre volet : à partir du 16 juillet, certaines pages d’atterrissage associées à CaptiveCrunch redirigent des invités vers le flux d’authentification “device code” de Microsoft.
Si l’utilisateur saisit un code fourni par l’attaquant sur la page d’authentification légitime, la session contrôlée par l’assaillant peut obtenir l’accès, après un processus où l’authentification multi‑facteurs est déjà considérée comme satisfaite.
Microsoft recommande d’envisager un blocage via Conditional Access lorsque le parcours device code n’est pas indispensable. L’idée : empêcher certains flux d’authentification depuis des contextes non attendus.
Pourquoi une simple erreur de réseau peut suffire
Le point le plus dérangeant est que l’utilisateur ne subit pas une infection “automatique” issue du Wi‑Fi en lui‑même. L’attaque exige une interaction : l’utilisateur doit accepter ou exécuter quelque chose. Pourtant, la passerelle captive permet de donner la bonne apparence au mauvais contenu, en orientant vers des pages qui ressemblent à des mises à jour ou des outils de dépannage.
Les rapports ne donnent pas de taux de réussite publics (combien de redirections ont effectivement abouti à une exécution, ni combien de comptes compromis). Le dossier souligne surtout que la chaîne technique a été observée en conditions réelles sur plusieurs réseaux d’hébergement, dans plusieurs pays.
Mesures de protection pour les voyageurs
Les chercheurs de ReliaQuest et Microsoft proposent des recommandations ciblées. L’objectif est de réduire la capacité de la passerelle à imposer une redirection, et de diminuer la surface d’attaque lors d’un séjour.
Privilégiez une connexion privée
La première ligne de défense recommandée est un VPN “full tunnel” maintenu actif. Dans ce modèle, les requêtes DNS et la navigation passent par les résolveurs et la protection du réseau d’entreprise, avant que la passerelle du lieu d’accueil ne puisse répondre.
Refusez les mises à jour proposées par le portail captif
En déplacement, évitez d’installer ou d’exécuter des éléments présentés par un portail captif : mises à jour logicielles, certificats, mises à jour navigateur, outils de “dépannage” ou utilitaires de sécurité proposés via l’écran d’atterrissage.
En pratique : si vous avez un doute, fermez l’écran, vérifiez la source (site officiel, fabricant) depuis une connexion de confiance, puis réinstallez seulement après vérification.
Contrôlez les flux d’authentification inattendus
Si une page vous demande de saisir un code (par exemple dans un parcours device code) alors que vous n’attendiez rien, traitez-le comme un signal d’alerte. Pour les organisations, l’ajustement des politiques Conditional Access peut aider à bloquer les flux non nécessaires.
Ce qu’on sait encore (et ce qui reste flou)
Microsoft et d’autres équipes soulignent que l’infrastructure observée partage certains équipements et systèmes de gestion entre réseaux touchés. Cela peut signifier que des services communs ont été exploités dans certaines parties de l’écosystème des portails captifs.
En parallèle, les vecteurs initiaux d’accès restent en cours d’investigation. ReliaQuest estime avec une confiance faible à moyenne qu’un mélange de interfaces d’administration exposées et de comptes d’administrateur faibles ou réutilisés pourrait avoir permis le point d’entrée, mais la visibilité a limité la confirmation.
Enfin, les éléments publics ne permettent pas de mesurer précisément l’impact : sans métriques d’exécution, d’approbation de device codes ou de comptes réellement pris, on ne peut qu’évaluer la nature et le risque, pas l’ampleur.
Conclusion : soyez prudent face aux fausses mises à jour
Les fausses mises à jour diffusées via le Wi‑Fi d’hôtel montrent comment une chaîne d’attaque peut tirer parti d’un portail captif pour rediriger l’utilisateur, puis faire exécuter un implant d’espionnage. Une fois installé, CornFlake est capable de collecte d’informations sensibles (captures, audio, clavier, cookies, mots de passe) et d’accès à distance, tandis que des voleurs de jetons peuvent faciliter la reprise de sessions.
En voyage, le meilleur réflexe consiste à utiliser une connexion privée type VPN full tunnel, refuser les propositions du portail, et se méfier des parcours d’authentification inattendus. Avec ces habitudes, vous réduisez fortement la probabilité qu’un écran trompeur devienne une compromission.
Source: https://thehackernews.com/2026/08/hijacked-hotel-wi-fi-pushes-fake.html
