Des centres de conférence et des hôtels du monde entier auraient servi de terrain de chasse à un groupe d’espionnage russe depuis début mai. Microsoft a révélé le 31 juillet une campagne baptisée CaptiveCrunch, active dans plusieurs pays sans que la firme ne les précise nommément.
Une porte d’entrée par le portail Wi-Fi
Selon Microsoft, l’attaque ne reposerait pas sur un faux réseau créé de toutes pièces. Les pirates auraient plutôt détourné l’équipement administratif qui gère l’accès à Internet dans ces établissements — la machine chargée d’attribuer les adresses réseau aux appareils connectés. En s’y installant, ils obtiendraient la capacité de décider vers quelles pages web sont dirigés les visiteurs, en interceptant les requêtes avant qu’elles n’atteignent leur destination réelle.
Concrètement, un client qui allume son ordinateur dans sa chambre pourrait tomber sur un écran l’invitant à installer une mise à jour de son navigateur ou de son système. Certaines de ces fenêtres relèveraient du procédé ClickFix, consistant à faire exécuter par la victime elle-même, via une simple ligne de commande, le programme malveillant que l’attaquant lui fournit. D’autres écrans imiteraient les formulaires de connexion de Microsoft, dans le but de récupérer mots de passe, jetons d’authentification ou codes d’appareil.
Storm-2945, ramification supposée de Midnight Blizzard
Microsoft attribue l’opération à un groupe qu’elle suit sous le nom Storm-2945, qu’elle décrit comme une sous-branche opérationnelle de Midnight Blizzard. Ce collectif, également connu sous les noms APT29 ou Cozy Bear, est considéré par les gouvernements des États-Unis et du Royaume-Uni comme lié au Service de renseignement extérieur russe, le SVR — une attribution qui reste, comme toute imputation de ce type, une évaluation des services de renseignement occidentaux et non un fait établi judiciairement. Les cadres d’entreprise et responsables gouvernementaux en déplacement professionnel seraient les cibles privilégiées.
L’entreprise de cybersécurité ReliaQuest avait donné l’alerte la première, huit jours avant le rapport de Microsoft, le 23 juillet. Son analyse initiale penchait plutôt vers une autre famille de techniques, proches de celles utilisées par le groupe APT28 (aussi appelé Fancy Bear), lui aussi présenté comme lié au renseignement militaire russe. Microsoft maintient toutefois son attribution à Storm-2945, tout en reconnaissant que la méthode rappelle une opération de détournement DNS révélée en avril et associée à ce même groupe rival. Les deux entreprises n’ont donc pas totalement convergé sur l’identité précise de l’auteur.
Un mode opératoire documenté depuis 2008
Midnight Blizzard ferait l’objet d’un suivi par plusieurs cellules de veille en cybersécurité depuis au moins 2008. Le groupe aurait notamment infiltré les réseaux du Comité national démocrate américain dès l’été 2015, avant l’élection présidentielle de 2016. Il est aussi tenu pour responsable, selon les autorités britanniques, de l’attaque de la chaîne d’approvisionnement SolarWinds en 2020, qui avait touché environ 18 000 organisations via une mise à jour piégée du logiciel Orion.
Face à la nouvelle campagne, Microsoft recommande aux voyageurs de considérer tout réseau Wi-Fi d’hôtel, de conférence ou d’aéroport comme non fiable, et de privilégier un partage de connexion mobile plutôt qu’une connexion directe. La firme déconseille formellement de télécharger la moindre mise à jour, certificat ou outil de dépannage proposé via un portail captif ou une fenêtre surgissante inattendue, ces sollicitations ne correspondant jamais à une véritable procédure de mise à jour système.
