Début août, Microsoft a lancé une alerte mondiale concernant la campagne «Captive Crunch», comme le rapportent divers médias, dont Forbes. Derrière cette campagne se cache le groupe de pirates russes Storm-2945, une sous-division de la célèbre unité Midnight Blizzard.
Les attaquants compromettent de manière ciblée l’infrastructure réseau d’hôtels, de centres de conférence et d’aéroports afin d’intercepter les voyageurs d’affaires lorsqu’ils se connectent au Wi-Fi réservé aux clients et de récupérer leurs identifiants Microsoft 365 ou d’installer des logiciels malveillants sur leurs terminaux.
Une méthode extrêmement perfide
La méthodologie des attaquants est extrêmement perfide, car elle ne recourt pas aux E-mails de hameçonnage ou «phishing» . Au lieu de cela, ils manipulent ce qu’on appelle le «Captive Portal» – la page de connexion qui s’affiche automatiquement dans le navigateur lors de la connexion au Wi-Fi d’un hôtel. Les utilisateurs voient alors s’afficher des demandes de vérification ou des invites de mise à jour logicielle apparemment légitimes.
Dans certains cas, les pirates exploitent le «processus d’authentification Device Code» officiel de Microsoft: le voyageur saisit un code fourni par l’attaquant, ce qui permet aux pirates d’obtenir un jeton d’authentification valide. Ils contournent ainsi même les procédures d’authentification multifactorielle sans jamais avoir besoin de connaître le mot de passe de la victime.
Outre le simple vol de données, le cheval de Troie Windows «CornFlake» est également installé: il enregistre les frappes au clavier, vole des fichiers, réalise des captures d’écran et peut même accéder à la caméra et au microphone de l’appareil.
Selon Microsoft, les utilisateurs d’Android sont également visés, car les pages piratées forcent parfois le téléchargement de fichiers APK infectés. L’utilisation de technologies d’IA par les attaquants rend en outre les pages falsifiées pratiquement impossibles à distinguer des portails authentiques, tant sur le plan visuel que linguistique.
Recommandations
Les responsables de la sécurité d’entreprise (Corporate Security) et de l’informatique doivent désactiver l’«authentification par code d’appareil» pour Microsoft 365, sauf si elle est absolument nécessaire, et renforcer les politiques «Conditional Access».
Dans le domaine des voyages d’affaires, les Travel Managers doivent impérativement demander aux voyageurs de considérer les réseaux Wi-Fi publics dans les hôtels, les trains et les aéroports comme systématiquement compromis.
Les voyageurs ne devraient utiliser que des points d’accès mobile ou «mobile Hotspots» (partage de connexion) via leur smartphone d’entreprise ou des routeurs 5G dédiés. Si l’utilisation du Wi-Fi d’un hôtel est inévitable, celle-ci ne doit jamais se faire sans passer par un VPN (réseau privé virtuel) contrôlé par l’entreprise. (TI)
Imprimer
