La page de connexion au Wi-Fi d'un hall d'hôtel est l'écran le plus anodin qu'un voyageur voit de la journée. Microsoft vient de publier ce qui se passe quand cette page appartient au renseignement russe : la campagne CaptiveCrunch, active depuis début mai 2026, détourne les portails captifs d'hôtels et de centres de conférences pour faire passer les clients par l'infrastructure des attaquants et livrer un logiciel malveillant déguisé en simple mise à jour de navigateur.
Qui est derrière
Microsoft Threat Intelligence attribue l'opération à Storm-2945, nouveau sous-groupe de Midnight Blizzard, aussi connu sous les noms APT29 ou Cozy Bear, que les États-Unis et le Royaume-Uni rattachent au service de renseignement extérieur russe, le SVR. Les cibles sont les voyageurs d'affaires : des réseaux hôteliers dans plusieurs pays, choisis pour une raison simple, c'est là que se connectent les ordinateurs intéressants.
Comment marche l'attaque
La chaîne est courte et n'exige aucune faille dans votre appareil :
- Le portail est l'homme du milieu. Une fois le réseau de l'hôtel compromis, le portail captif manipule le trafic DNS et HTTP et fait transiter les clients par l'infrastructure des attaquants.
- L'appât est une mise à jour. Au lieu de la page habituelle « vous êtes connecté », le client reçoit une invitation convaincante à installer une mise à jour du navigateur ou du système, dans le style ClickFix où l'utilisateur exécute lui-même une commande ou un script.
- Puis deux charges utiles. CornFlake est un cheval de Troie d'accès distant écrit en Go pour Windows : enregistrement du clavier et du presse-papiers, captures d'écran, audio et vidéo, vol des identifiants du navigateur et shell distant. ChocoShell est un voleur PowerShell exécuté en mémoire : cookies, mots de passe enregistrés, jetons d'authentification unique Microsoft 365 et identifiants Wi-Fi.
Les jetons Microsoft 365 sont l'objectif. Avec un jeton de session valide, pas besoin de mot de passe et le second facteur ne se déclenche pas : l'attaquant poursuit simplement votre session depuis sa machine.
Pourquoi les conseils habituels échouent ici
« Regardez le cadenas » ne sert à rien : la page de phishing est servie en HTTPS avec son propre certificat valide. « Ne téléchargez pas depuis des sites douteux » non plus : l'invitation à mettre à jour apparaît sur la page que vous attendiez. L'attaquant possède le premier saut du réseau, le seul endroit que votre ordinateur ne peut pas vérifier.
Ce que recommande Microsoft
- Préférer sa propre connexion au Wi-Fi public dès que possible : partage de connexion du téléphone ou routeur de voyage géré par l'entreprise.
- Ne jamais installer une mise à jour proposée par un portail captif, ni coller les commandes qu'il suggère.
- Passer à la connexion sans mot de passe et à une authentification multifacteur résistante au phishing, et bloquer le device code flow quand l'organisation le peut.
Où un VPN aide vraiment, et où non
Un tunnel monté avant l'ouverture du navigateur retire son levier à l'attaquant : les requêtes DNS se résolvent dans le tunnel et le portail ne décide plus où va votre trafic. C'est exactement la faille sur laquelle repose la campagne, et c'est elle que ferme un canal chiffré.
L'ordre compte plus que la marque. Le portail captif doit être franchi en premier, et c'est dans cette fenêtre que la manipulation a lieu : le plus sûr est donc de se connecter, de ne rien accepter, de monter le tunnel et seulement ensuite de travailler. Et après coup, aucun tunnel ne sauve : si vous avez lancé la « mise à jour », le logiciel malveillant est déjà là et le chiffrement du trafic n'y change rien.
