Microsoft affirme avoir identifié une campagne menée par des hackers russes contre l’infrastructure de réseaux Wi-Fi publics dans des hôtels, des centres de conférences et d’autres lieux fréquentés dans plusieurs pays, rapporte TopTribune.
Selon l’entreprise américaine, l’opération a ciblé des établissements utilisant des portails captifs Wi-Fi, ces pages d’authentification qui s’affichent lorsqu’un utilisateur se connecte à un réseau sans fil public. Microsoft attribue cette activité au groupe Storm-2945, qu’elle rattache à Midnight Blizzard, une structure associée au service russe de renseignement extérieur.
La campagne aurait permis aux attaquants d’exploiter des services communs utilisés par plusieurs opérateurs de réseaux Wi-Fi. Une telle compromission donne accès à des points de connexion fréquentés par des utilisateurs différents, dans des hôtels et des lieux publics situés dans plusieurs pays. Microsoft n’a pas indiqué, dans les éléments rapportés, le nombre exact de sites concernés ni l’identité des opérateurs visés.
Des utilisateurs redirigés vers une infrastructure de phishing
Le mode opératoire décrit repose sur une redirection discrète des utilisateurs. Après leur connexion à un réseau public, certains internautes ont été envoyés vers une infrastructure de hameçonnage contrôlée par les attaquants. Celle-ci diffusait ensuite des logiciels malveillants présentés comme des mises à jour du navigateur ou du système d’exploitation.
Le message invitant à installer une mise à jour pouvait apparaître après les vérifications automatiques réalisées par les navigateurs lorsqu’un appareil se connecte à un nouveau réseau. Ces contrôles sont destinés à confirmer l’accès à Internet et à déclencher, le cas échéant, l’affichage du portail d’authentification. Dans le scénario observé par Microsoft, cette étape a été utilisée pour présenter aux utilisateurs un contenu sous contrôle des hackers.
La méthode vise donc un moment banal de la vie numérique : la connexion à un Wi-Fi dans un hôtel, un centre de conférence ou un autre espace ouvert au public. Le risque décrit par Microsoft concerne les appareils utilisés dans ces lieux, mais les informations disponibles ne permettent pas d’établir combien de machines ont effectivement été infectées.
Storm-2945, un groupe associé à Midnight Blizzard
Dans la nomenclature de Microsoft, les groupes portant le préfixe Storm suivi de quatre chiffres correspondent à des clusters de menaces suivis temporairement ou en cours d’identification. Cette désignation est utilisée avant une attribution complète à un groupe connu. Storm-2945 est ainsi présenté comme une sous-structure spécialisée de Midnight Blizzard.
Les analystes cités dans le dossier associent Midnight Blizzard au service russe de renseignement extérieur. Le groupe est notamment lié à la compromission de plusieurs organisations et institutions. Il a été mis en cause dans l’attaque de 2020 contre des agences gouvernementales américaines, réalisée par l’intermédiaire du logiciel SolarWinds. En 2023, les mêmes hackers ont également été associés au piratage du client de messagerie Outlook.
Storm-2945 se distingue, dans les éléments fournis, par des opérations de cyberespionnage russe et des attaques techniques visant des infrastructures locales. Le groupe Storm-1516, également cité dans le contexte de l’affaire, est présenté comme une entité différente, associée à une activité de désinformation, à la production de faux contenus et à des tentatives d’intervention dans des processus électoraux. Les deux appellations ne désignent donc pas la même activité.
Une cible située en dehors des réseaux gouvernementaux
La campagne décrite par Microsoft ne vise pas directement un système informatique gouvernemental identifié dans les informations disponibles. Elle s’appuie sur des infrastructures utilisées quotidiennement par le public, notamment les réseaux Wi-Fi des hôtels et les portails captifs associés. Ces lieux peuvent toutefois être fréquentés par des diplomates, des responsables publics, des militaires, des journalistes ou des cadres d’entreprise lors de déplacements professionnels.
Le scénario présente un risque particulier lorsque l’appareil connecté à un réseau public contient des données professionnelles ou dispose d’un accès à des services d’entreprise. Une infection peut alors concerner le terminal lui-même. La source ne confirme pas qu’un appareil compromis aurait ensuite permis d’entrer dans un réseau d’État ou dans une infrastructure d’entreprise. Elle décrit en revanche la possibilité d’utiliser ces appareils comme relais d’accès lorsque des informations d’identification ou des connexions professionnelles sont exposées.
La compromission d’un service partagé par plusieurs opérateurs peut également étendre le périmètre technique d’une opération. Dans ce cas, un même accès pourrait affecter plusieurs portails captifs ou plusieurs lieux utilisant une infrastructure commune. Microsoft présente cette hypothèse comme un élément de la campagne, sans fournir de bilan public permettant de mesurer son ampleur exacte en Europe ou ailleurs.
Les précautions recommandées pour les déplacements
Les éléments rapportés invitent les organisations qui envoient leurs salariés en déplacement à renforcer leurs règles de cybersécurité en voyage. Les recommandations mentionnées consistent notamment à éviter les réseaux Wi-Fi publics non sécurisés, à désactiver la connexion automatique aux réseaux ouverts et à installer les mises à jour uniquement depuis les canaux officiels des éditeurs.
Ces précautions concernent les collaborateurs qui manipulent des informations sensibles dans des hôtels, lors de conférences ou pendant des réunions internationales. Elles ne constituent pas, à elles seules, une confirmation d’une infection ou d’un accès à des données particulières. Elles répondent au mode opératoire décrit par Microsoft, fondé sur la redirection des utilisateurs et la présentation de faux messages de mise à jour.
Le cas Storm-2945 place les services d’authentification des réseaux publics au centre du suivi de la menace. Les informations rendues publiques portent sur la détection d’une campagne et sur son attribution présumée à un groupe lié à Midnight Blizzard. Les détails sur les victimes, les données éventuellement consultées et la durée de l’opération n’ont pas été communiqués dans les éléments disponibles.
Microsoft poursuit le suivi de cette activité à travers sa nomenclature des groupes de menaces, tandis que les hôtels, les centres de conférences et les opérateurs de réseaux publics restent les principaux environnements cités dans le signalement.
