Microsoft a averti qu'un groupe russe exploite activement les réseaux Wi-Fi des hôtels, des centres de conférence et autres établissements d'accueil pour cibler les voyageurs du monde entier. Cette campagne, baptisée « CaptiveCrunch », transforme une simple connexion Wi-Fi en une opportunité de compromettre les comptes et appareils professionnels.
Du point de vue de l'utilisateur, rien ne semble anormal : il se connecte au Wi-Fi de l'hôtel, reçoit le message habituel du portail captif et voit peut-être un message familier l'invitant à effectuer une mise à jour avant de pouvoir naviguer. Cependant, en coulisses, le groupe, présumément lié à l'État, s'insère dans le réseau et manipule le trafic DNS (Domain Name System) et HTTP du Wi-Fi du portail captif.
À partir de là, plusieurs choses peuvent se produire :
- Les identifiants de connexion sont volés : la session du navigateur de l’utilisateur est redirigée vers des pages d’hameçonnage contrôlées par l’attaquant, comme de fausses invites de connexion Microsoft, où les identifiants, les codes d’appareil ou les jetons OAuth sont récupérés.
- Téléchargement de logiciels malveillants : L’utilisateur est confronté à de fausses mises à jour ou à des boîtes de dialogue ClickFix qui téléchargent des logiciels malveillants. Dans ces cas, il s’agit généralement d’un cheval de Troie d’accès à distance (RAT) et d’un voleur de données.
- Une attaque de type « machine au milieu » (MitM) où le trafic est discrètement acheminé via l'infrastructure de l'attaquant, mettant ainsi l'utilisateur en position de vol d'identifiants ultérieur.
Selon certaines informations , l'une des principales souches de logiciels malveillants utilisées dans ces attaques s'appelle CornFlake, un cheval de Troie d'accès à distance (RAT) capable de capturer des images de webcam, l'audio du microphone et les frappes au clavier.
Le voleur d'informations a été identifié comme étant ChocoShell, un voleur d'informations sans fichier basé sur PowerShell qui cible principalement les cookies de session du navigateur, les mots de passe enregistrés, les jetons d'authentification unique (SSO) Microsoft 365 et les identifiants Wi-Fi des systèmes compromis.
Microsoft répertorie une série de fausses boîtes de dialogue qui peuvent apparaître une fois que vous vous connectez à un réseau Wi-Fi compromis :
- winupdate : Une fausse Windows Fenêtre de mise à jour avec le message « Mises à jour en cours… Veuillez ne pas éteindre votre ordinateur. »
- défenseur : Un faux Windows Analyse antivirus de sécurité.
- directx : « Programme d'installation Web de l'environnement d'exécution DirectX pour l'utilisateur final. »
- vcredist : un programme d’installation redistribuable de Microsoft Visual C++.
- sysopt : un utilitaire d’optimisation de disque.
- netfix : A Windows Outil de « réparation » des diagnostics réseau.
- Navigateur : Invite à mettre à jour le navigateur.
- pdfview : Un programme d’installation de visionneuse de documents/PDF.
Comment rester en sécurité
Malwarebytes L' OMS met en garde depuis longtemps contre les risques liés aux réseaux Wi-Fi publics. Voici comment vous protéger lors de vos déplacements :
- Utilisez le partage de connexion de votre téléphone plutôt que le Wi-Fi public. Une connexion mobile, surtout avec une eSIM et un opérateur réputé, réduit considérablement le risque d'attaque par rapport à un réseau Wi-Fi d'hôtel inconnu.
- Si vous êtes contraint d'utiliser un réseau Wi-Fi public, utilisez un VPN avec une fonction d'arrêt d'urgence (Kill Switch) activée : authentifiez-vous d'abord sur le portail de l'hôtel, puis lancez votre VPN. VPN avant d'ouvrir un site web ou une application. La fonction Kill Switch bloquera instantanément tout le trafic internet si le VPN La connexion se coupe même pendant une seconde, empêchant ainsi les cybercriminels d'injecter du code malveillant en public. CaptiveCrunch fonctionne avec des portails captifs et des pré-connexions. VPN flux, un VPN Cela réduit néanmoins d'autres risques et limite la collecte passive de données une fois en ligne.
- Vérifiez toujours le certificat de tout portail de connexion Wi-Fi public ou de « sécurité » qui demande plus qu'un numéro de chambre ou des identifiants de base. Ce n'est pas toujours un indice flagrant, mais parfois, certains éléments peuvent être révélateurs : des noms d'hôtes incohérents, des émetteurs non fiables ou l'utilisation du protocole HTTP simple sont autant de signaux d'alarme qui doivent vous dissuader de poursuivre.
- De nombreux portails captifs demandent une adresse e-mail pour l'inscription ou à des fins marketing. Même dans les cas les plus anodins, il est inutile de communiquer votre véritable adresse e-mail. Si vous devez absolument en fournir une, envisagez d'en utiliser une fausse ou un pseudonyme temporaire sans lien avec vos comptes principaux.
- Si l'on vous demande de télécharger un logiciel, un certificat, une mise à jour de navigateur ou un outil de réparation pour vous connecter, arrêtez immédiatement. Vous ne devriez jamais avoir à télécharger quoi que ce soit pour vous connecter à un réseau Wi-Fi.
- Ne vous précipitez pas pour suivre les instructions d'une page web ou d'une invite, surtout si elles vous demandent d'exécuter des commandes sur votre appareil ou de copier-coller du code. Méfiez-vous des pages qui incitent à une action immédiate : les pages ClickFix sophistiquées ajoutent des comptes à rebours, des compteurs d'utilisateurs ou d'autres techniques de pression pour vous inciter à agir rapidement.
- Sécurisez vos appareils. Utilisez une solution anti-malware à jour et en temps réel, dotée d'un module de protection web.
- Évitez de saisir directement vos identifiants Microsoft 365, Google Workspace ou autres informations sensibles sur toute page accessible via un portail captif. Si vous devez consulter votre messagerie professionnelle, suivez les URL connues plutôt que de cliquer sur les invites.
Enfin, et surtout, mettez à jour votre navigateur, votre système d'exploitation et vos autres logiciels importants avant votre départ. Cela réduira le risque de recevoir des demandes de mise à jour légitimes pendant votre absence.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éliminez les menaces de vos appareils en téléchargeant Malwarebytes dès aujourd'hui.
