CaptiveCrunch : Midnight Blizzard cible les Wi-Fi d'hôtels

Des portails captifs d'hôtels transformés en pièges à tokens M365

Le 31 juillet 2026, l'équipe Microsoft Threat Intelligence a publié une analyse détaillée d'une nouvelle campagne d'espionnage numérique baptisée CaptiveCrunch. L'opération est attribuée à Storm-2945, un sous-cluster récemment individualisé au sein du groupe Midnight Blizzard, lui-même connu sous les désignations APT29 et Cozy Bear. Ce groupe est formellement attribué par les gouvernements américain et britannique au Service de renseignement étranger de la Fédération de Russie (SVR). Il est à l'origine de certaines des opérations d'espionnage numérique les plus sophistiquées de ces dix dernières années, du piratage du Comité national démocrate américain en 2016 à la compromission de la chaîne d'approvisionnement SolarWinds en 2020.

La spécificité de Storm-2945 est de cibler non pas les systèmes d'information d'organisations directement, mais leurs collaborateurs lorsqu'ils se trouvent hors de leur périmètre de sécurité habituel : en déplacement professionnel, connectés aux réseaux Wi-Fi des hôtels. Depuis mai 2026, l'infrastructure de Storm-2945 a compromis des équipements réseau — routeurs, bornes Wi-Fi, systèmes de gestion des portails captifs — dans des établissements hôteliers répartis sur plus de vingt pays, couvrant l'Europe, l'Asie, le Moyen-Orient et l'Amérique du Nord. Les zones géopolitiquement sensibles, accueillant des délégations gouvernementales ou des personnels de défense en mission, semblent constituer les cibles prioritaires.

Le mécanisme technique de CaptiveCrunch repose sur une attaque de type adversary-in-the-middle (AiTM) exploitant la confiance que les voyageurs accordent aux portails captifs hôteliers. Concrètement, lorsqu'un voyageur se connecte au Wi-Fi de son hôtel et tente d'accéder à n'importe quelle ressource en ligne, Storm-2945 manipule le trafic DNS et HTTP pour intercepter la session et rediriger l'utilisateur vers une infrastructure malveillante contrôlée par le groupe. La victime se retrouve face à une fausse page de portail captif visuellement identique à celle attendue, ou directement face à une fausse page de connexion Microsoft aux couleurs de son organisation. Les identifiants et les tokens de session saisis sont capturés en temps réel.

Ce qui distingue CaptiveCrunch des attaques de phishing classiques est précisément la capacité à intercepter les tokens d'authentification de session Microsoft 365. Lorsqu'un utilisateur se connecte avec succès à un service M365 — Outlook, Teams, SharePoint — son navigateur reçoit un cookie de session signé prouvant l'authentification pour la durée de la session. Storm-2945, positionné en intermédiaire transparent, récupère ce cookie immédiatement après que la victime s'est authentifiée avec succès, y compris via un second facteur d'authentification classique (SMS ou application TOTP). L'attaquant peut alors rejouer ce cookie dans sa propre session sans avoir besoin des identifiants ou du code MFA de la victime.

Microsoft a identifié deux familles de malwares déployés dans le cadre de cette campagne. La première, CornFlake, est un cheval de Troie d'accès à distance (RAT) écrit en langage Go. Sur les systèmes Windows compromis, CornFlake s'installe sous l'alias « Cloud Sync Service » dans les services Windows, une dénomination conçue pour échapper à l'attention des utilisateurs lors d'une inspection superficielle. Ses fonctionnalités documentées sont très étendues : enregistrement des frappes clavier (keylogging), capture d'écran à intervalles réguliers, surveillance du contenu du presse-papier, enregistrement audio via le microphone, captation vidéo via la webcam, vol des identifiants stockés dans les navigateurs web, exfiltration de fichiers ciblés, surveillance des périphériques USB connectés et exécution de commandes arbitraires à distance.

La seconde famille, ChocoShell, est un implant complémentaire axé sur la persistance à long terme et les communications chiffrées avec l'infrastructure de commande et contrôle (C2) de Storm-2945. Microsoft précise que les deux malwares ont été développés, au moins partiellement, avec le soutien d'outils d'intelligence artificielle générative — une tendance croissante parmi les groupes APT étatiques consistant à utiliser l'IA pour accélérer le cycle de développement offensif et produire du code plus difficile à détecter par les moteurs de détection basés sur les signatures.

Forbes a relayé l'alerte de Microsoft le 1er août 2026, insistant sur le fait que cette campagne constitue une menace concrète pour tout utilisateur Windows se connectant à des réseaux Wi-Fi publics lors de déplacements professionnels. La surface d'attaque est large : le secteur hôtelier est structurellement moins mature en matière de cybersécurité que les grandes entreprises. Les équipes IT y sont souvent réduites, la rotation du personnel est élevée, et les mises à jour firmware des bornes Wi-Fi ou des routeurs ne font pas l'objet d'une politique stricte de gestion des correctifs.

Selon BleepingComputer et Security Affairs, qui ont détaillé l'analyse de Microsoft, les secteurs les plus exposés incluent la défense, les administrations publiques, les organisations diplomatiques, l'énergie, la finance et les grandes entreprises technologiques. Les cabinets de conseil stratégique dont les collaborateurs voyagent fréquemment dans des zones à risque géopolitique élevé sont également identifiés comme des cibles prioritaires pour Storm-2945.

Une menace qui redéfinit le périmètre de sécurité de l'entreprise

CaptiveCrunch illustre de manière frappante l'évolution du périmètre de menace auquel font face les organisations. La transformation numérique, le travail hybride et la généralisation des déplacements professionnels ont étendu la surface d'attaque bien au-delà des murs du bureau et du réseau d'entreprise. Les DSI et les équipes sécurité qui concentrent leurs investissements sur la protection du périmètre physique laissent béant un angle mort majeur : le collaborateur nomade, connecté depuis un réseau qu'il ne contrôle pas.

Cette campagne met également en évidence les limites de certaines implémentations du MFA. Le consensus opérationnel dans la communauté sécurité recommande depuis plusieurs années les clés de sécurité matérielles FIDO2 comme seul facteur robustement résistant aux attaques AiTM. Avec FIDO2, l'authentification est liée cryptographiquement au domaine cible légitime : même si un attaquant positionné en AiTM présente une fausse page Microsoft, la clé FIDO2 de l'utilisateur refusera de s'authentifier car le domaine ne correspond pas à celui enregistré. Cette propriété anti-phishing intrinsèque est absente des MFA TOTP et SMS.

Pour les organisations soumises à NIS2, CaptiveCrunch soulève une question réglementaire directe. La directive impose aux opérateurs de services essentiels et aux entités importantes de mettre en oeuvre des mesures de gestion des risques incluant ceux liés aux équipes en mobilité. La compromission d'un compte M365 via un réseau hôtelier peut déclencher l'obligation de notification à l'ANSSI dans un délai de 24 heures si l'incident est qualifié de significatif. Les organisations doivent intégrer ce scénario dans leurs procédures de réponse aux incidents.

Midnight Blizzard, malgré les sanctions diplomatiques et les expositions publiques successives de ses opérations, maintient un niveau d'activité élevé et une capacité d'innovation constante. L'individualisation d'un sous-cluster spécialisé dans les environnements de voyage indique une division du travail croissante au sein de l'appareil cyber du SVR, avec des équipes dédiées à des vecteurs d'attaque spécifiques — une professionnalisation qui se traduit par une efficacité opérationnelle accrue.

Ce qu'il faut retenir

• Storm-2945 (Midnight Blizzard/APT29) compromet les Wi-Fi hôteliers via AiTM depuis mai 2026 pour voler des tokens M365, contournant le MFA classique (SMS/TOTP).
• Les malwares CornFlake et ChocoShell, développés avec l'aide de l'IA, offrent un accès persistant complet aux machines compromises.
• Mesures prioritaires : VPN d'entreprise obligatoire sur tout réseau non maîtrisé, déploiement FIDO2 pour les comptes sensibles, et accès conditionnel basé sur la conformité d'appareil dans Microsoft Entra ID.