Les services de sécurité britanniques ont découvert qu'un groupe lié à l'armée russe espionnait les utilisateurs de routeurs SOHO (Small Office/Home Office) compromis, dans le cadre d'une vaste campagne de cyberespionnage. Un article du blog de Microsoft détaille les aspects techniques de ces attaques.
Le groupe, que nous appellerons APT28, mais qui est également connu sous des noms comme Fancy Bear, BlueDelta et Forest Blizzard, modifie les paramètres DNS des routeurs compromis afin que leur trafic soit envoyé via des serveurs sous leur contrôle, ce qui permet à APT28 d'espionner les utilisateurs.
Le système de noms de domaine (DNS) permet de localiser les noms de domaine Internet et de les traduire en adresses IP (Internet Protocol). Les appareils obtiennent généralement leurs paramètres réseau des routeurs via le protocole DHCP (Dynamic Host Configuration Protocol).
Si un attaquant parvient à modifier les paramètres DNS du routeur, il peut rediriger discrètement le trafic via l'infrastructure qu'il contrôle, récupérer les identifiants de connexion et, dans certains cas, s'interposer entre l'utilisateur et le service légitime. C'est pourquoi cette campagne peut permettre le vol d'identifiants et même l'interception ciblée du trafic Microsoft 365 et d'autres services cloud.
Un communiqué du FBI indique que le groupe APT28 :
«…a collecté des mots de passe, des jetons d’authentification et des informations sensibles, notamment des adresses électroniques et des données de navigation Web normalement protégées par les protocoles SSL (Secure Socket Layer) et TLS (Transport Layer Security). » chiffrement ."
Le FBI affirme que le groupe a ratissé large aux États-Unis et dans le monde entier, avant de cibler ses victimes parmi celles ayant accès à des informations relatives aux secteurs militaire, gouvernemental et aux infrastructures critiques.
L' avis du NCSC cite un modèle précis de routeur TP-Link (WR841N) présentant une vulnérabilité connue permettant à un attaquant non authentifié d'obtenir des informations telles que les identifiants et mots de passe via des requêtes HTTP GET spécialement conçues. Ce modèle de routeur est largement vendu aux particuliers et aux petites entreprises et n'est généralement pas utilisé comme équipement standard par les principaux fournisseurs d'accès à Internet. L'article inclut également une liste non exhaustive d'autres modèles de routeurs TP-Link ciblés par APT28.
Microsoft Threat Intelligence affirme avoir identifié plus de 200 organisations et 5 000 appareils grand public touchés par l’infrastructure DNS malveillante de Forest Blizzard.
Le débat sur l'interdiction des routeurs
Il y a quelques semaines, nous avons commenté la décision de la FCC d'empêcher de fait l'importation de routeurs de fabrication étrangère, à moins que leurs fabricants n'obtiennent une exemption, en raison de ce que la FCC a qualifié de « risque inacceptable pour la sécurité nationale des États-Unis ou pour la sûreté et la sécurité des citoyens américains ».
Les agissements d'APT28 illustrent le type de risque que la FCC cherche à endiguer, mais ils confortent également notre point de vue : si le débat sur l'interdiction des routeurs et les restrictions de la chaîne d'approvisionnement se concentre souvent sur l'origine nationale, le problème majeur réside dans la sécurité réelle de ces appareils. Un routeur livré avec des paramètres par défaut vulnérables, un support des mises à jour insuffisant ou une procédure d'installation complexe devient une cible, quel que soit son pays de fabrication. Les attaquants ne recherchent pas la perfection. Il leur suffit d'un nombre suffisant d'appareils exposés pour constituer une infrastructure vaste et discrète d'espionnage et de redirection.
Ce que vous pouvez faire
Pour vérifier si vos paramètres sont corrects, nous ne pouvons donner que des indications générales, car ils sont parfois très spécifiques à chaque appareil. Mais cette méthode fonctionne généralement :
Comment vérifier que les paramètres DHCP de votre routeur correspondent à ceux prévus par votre FAI :
- Vérifiez les informations DHCP actuelles de votre appareil.
Sur un PC ou un téléphone connecté à votre réseau domestique, ouvrez les détails du réseau et notez l'adresse IP, le masque de sous-réseau, la passerelle par défaut et les serveurs DNS utilisés par votre appareil. - Connectez-vous à votre routeur et trouvez ses paramètres WAN/Internet.
Dans l'interface web du routeur, consultez la page « État » ou « Internet » pour voir quelle adresse il a reçue du FAI et quels serveurs DNS il est configuré pour utiliser. - Comparez avec les documents ou les informations fournis par votre fournisseur d'accès Internet.
Consultez les pages d'assistance de votre fournisseur d'accès Internet ou contactez son service client pour confirmer ses exigences : type de connexion (DHCP ou PPPoE), plage d'adresses IP publiques et serveurs DNS fournis. Des incohérences importantes (par exemple, des serveurs DNS situés dans un autre pays ou appartenant à une organisation inconnue) justifient une investigation plus approfondie. - Si vous utilisez un DNS personnalisé, documentez-le.
Si vous utilisez délibérément un DNS alternatif (par exemple, un résolveur de confidentialité ou de sécurité), notez-le et vérifiez périodiquement que votre routeur et vos clients utilisent toujours les adresses que vous avez choisies.
Autres mesures
Si vous en avez les moyens et que vous ne l'avez pas encore fait, passez au Wi-Fi 7 pour pérenniser votre installation tant que les modèles actuels sont encore disponibles en magasin.
Vous devriez au moins :
- Modifiez les noms d'utilisateur et mots de passe par défaut de votre routeur pour des identifiants moins faciles à deviner.
- Consultez le site web du fournisseur pour obtenir les dernières informations, confirmer la date de fin de vie et mettre à jour le firmware.
- Désactivez les interfaces de gestion à distance via Internet lorsque cela est possible.
- Tous les utilisateurs doivent prendre en compte avec attention les avertissements relatifs aux certificats dans les navigateurs Web et les clients de messagerie, car ils indiquent un problème avec la connexion sécurisée et pourraient signifier que vous ne communiquez pas avec le site authentique.
Pour les utilisateurs avertis, remplacer le firmware d'origine par des alternatives open source comme OpenWrt ou DD-WRT peut prolonger la durée de vie sécurisée d'un routeur. Cependant, cette opération comporte des risques, notamment l'annulation de la garantie ou le blocage complet de l'appareil. Il est donc conseillé de ne procéder à cette opération, ou de la faire réaliser, que si vous êtes à l'aise avec le dépannage.
Si un citoyen américain soupçonne avoir été ciblé ou compromis par une cyberintrusion russe, il lui est demandé de signaler l'incident au bureau local du FBI ou de déposer une plainte auprès de l' IC3 . Il est important de fournir des détails sur le routeur concerné, notamment son type et sa configuration DHCP.
Naviguez comme si personne ne vous regardait.
Malwarebytes Privacy VPN Votre connexion est chiffrée et aucune trace de votre activité n'est enregistrée. Ainsi, votre prochaine lecture restera impersonnelle. Essayez-le gratuitement →
