FrostArmada : APT28 détourne des routeurs pour voler vos

Les faits

Le 7 avril 2026, le NCSC britannique et Lumen Black Lotus Labs ont mis au jour FrostArmada, une campagne d'espionnage attribuée à APT28 — le groupe russe également désigné sous les noms de Forest Blizzard ou Fancy Bear — active depuis mai 2025. L'opération APT28 FrostArmada DNS hijacking repose sur la compromission à grande échelle de routeurs grand public MikroTik et TP-Link, dont les paramètres DNS sont silencieusement réécrits afin de rediriger le trafic des utilisateurs vers une infrastructure contrôlée par les attaquants. Ce détournement s'opère sans déployer de logiciel malveillant sur les postes de travail, ce qui le rend invisible aux solutions EDR classiques. Il ouvre la voie à l'interception d'identifiants et à la redirection vers des portails d'authentification frauduleux, sur des équipements périphériques rarement supervisés par les équipes sécurité.

Concrètement, lorsqu'un utilisateur d'un réseau dont le routeur est compromis tente d'accéder à des services comme Microsoft 365, la requête DNS est redirigée vers un serveur contrôlé par APT28 qui présente une page de connexion identique. Les identifiants sont interceptés en temps réel, selon le rapport du NCSC. Pour les routeurs TP-Link WR841N, APT28 a exploité CVE-2023-50224, une vulnérabilité de contournement d'authentification connue depuis 2023 mais restée non corrigée sur de nombreux équipements.

Impact et exposition

Microsoft a identifié plus de 200 organisations et 5 000 appareils grand public impactés par l'infrastructure DNS malveillante. Les victimes se concentrent en Europe et en Amérique du Nord, avec une attention particulière portée aux institutions gouvernementales et aux sous-traitants de la défense. Cette campagne rappelle les précédentes opérations d'APT28 contre des cibles stratégiques, mais avec une approche plus furtive et diffuse via les routeurs domestiques.

Le risque est d'autant plus élevé en contexte de télétravail : un employé connecté via un routeur domestique compromis expose les identifiants de son organisation sans qu'aucune alerte ne se déclenche côté entreprise. Les solutions EDR classiques ne voient pas le détournement DNS qui se produit en amont, sur l'équipement réseau lui-même. Une attaque similaire ciblant Microsoft 365 avait été attribuée à l'Iran récemment, montrant que cette surface d'attaque est activement exploitée par plusieurs États.

Recommandations

• Mettre à jour immédiatement le firmware de tous vos routeurs MikroTik et TP-Link — en particulier les modèles WR841N vulnérables à CVE-2023-50224
• Vérifier et verrouiller les paramètres DNS de vos routeurs — s'assurer qu'ils pointent vers des résolveurs légitimes
• Activer le MFA résistant au phishing (FIDO2/passkeys) sur tous les comptes Microsoft 365
• Surveiller les connexions depuis des IP résidentielles inhabituelles dans les journaux Azure AD

Un mode opératoire qui rappelle VPNFilter et Cyclops Blink

FrostArmada n'est pas la première campagne russe à cibler des équipements réseau grand public pour constituer une infrastructure d'attaque distribuée. En 2018, le FBI avait démantelé VPNFilter, un botnet attribué à APT28 qui avait déjà compromis plus de 500 000 routeurs à travers le monde. Plus récemment, Cyclops Blink — également lié à ce groupe — visait spécifiquement les pare-feux WatchGuard entre 2019 et 2022. FrostArmada s'inscrit dans cette continuité stratégique, mais avec une finalité différente : plutôt que de construire un botnet DDoS ou un relais de commande, l'objectif ici est le vol d'identifiants via des attaques AitM (adversary-in-the-middle) ciblant spécifiquement l'écosystème Microsoft 365. Cette évolution traduit un intérêt croissant des acteurs étatiques russes pour le détournement d'infrastructures périphériques peu surveillées, à la frontière entre le réseau domestique et l'entreprise via le télétravail.

Réactions officielles et coordination internationale

Le NCSC britannique a publié un avis technique conjoint avec Lumen Black Lotus Labs détaillant les indicateurs de compromission (IoC) associés à FrostArmada, incluant les adresses IP des serveurs DNS malveillants et les hachages de firmware modifiés identifiés sur les routeurs TP-Link WR841N. Microsoft, via son équipe MSTIC, a de son côté notifié directement les 200 organisations identifiées comme touchées et a publié des règles de détection pour Microsoft Defender permettant d'identifier les tentatives de connexion depuis les infrastructures AitM répertoriées. La CISA américaine a relayé l'alerte auprès des secteurs jugés prioritaires, en particulier la défense et les administrations fédérales, tout en recommandant l'application immédiate du correctif pour CVE-2023-50224 — une vulnérabilité vieille de plus de deux ans qui illustre une nouvelle fois le décalage persistant entre la publication d'un correctif et son déploiement effectif sur le parc d'équipements SOHO.

Des secteurs particulièrement exposés

Au-delà des institutions gouvernementales et des sous-traitants de la défense déjà cités par Microsoft, les analystes de Lumen soulignent une exposition disproportionnée de trois catégories d'organisations :

• Les cabinets de conseil et prestataires disposant d'accès délégués à des environnements Microsoft 365 clients
• Les PME du secteur de la défense et de l'aérospatial, souvent moins dotées en équipes IT dédiées à la supervision des équipements réseau périphériques
• Les collaborateurs en télétravail utilisant des routeurs SOHO non gérés par une politique IT centralisée

Cette répartition confirme une tendance déjà observée dans les campagnes d'espionnage russes récentes : privilégier les points d'entrée périphériques faiblement instrumentés plutôt que les cibles directement protégées par des SOC matures.