Mais non, les Russes sont des « gentils » !
C’est ce qu’affirmera n’importe quel
propagandiste occidental près à trahir son pays pour pouvoir nous faire vivre à
genoux face à la glorieuse armée de « Pal-Poux-tine » qui tente de
nous libérer des « néo-nazis » notamment depuis l’Ukraine qui contaminent
les esprits du monde occidental des « Lumières » dégénéré par le
wokisme…
Et pourtant depuis mai 2024, le SVR russe, (Sloujba vnechnei razvedki) le service civil de renseignement extérieur de la Fédération de Russie qui aura succédé au KGB, mène via Storm-2945 une campagne massive de cyber-espionnage ciblant les réseaux Wi-Fi hôteliers pour dérober les identifiants Microsoft 365.
L’opération « CaptiveCrunch » combine manipulation DNS, malwares déguisés et phishing par code d’appareil pour contourner les authentifications multi-facteurs.
Les secteurs financier, juridique, sanitaire et énergétique de plusieurs pays occidentaux sont ainsi compromis.
Je ne sais pas vous, mais depuis quelques
semaines je suis harcelé par des spams qui me demandent de confirmer mon
adresse ou mes identifiants et me menacent des pires amendes si je ne me
dévoile pas, etc.
Il se trouve « qu’infreequentable.com » n’a aucune existence physique réelle et quand on m’affirme qu’il va perdre des remboursements de soins ou être saisi pour ne pas avoir payer un PV routier, je rigole bien fort !
Mais il faut indiquer que l’essor de l’IA
transforme profondément la cybersécurité.
Le coût des attaques est en baisse et les failles sont détectées plus vite, rendant les vieux systèmes vulnérables.
Or, depuis mai 2024, le Service de renseignement extérieur russe (SVR) orchestre une campagne de cyber-espionnage d’une ampleur inédite. L’opération cible les réseaux Wi-Fi publics des hôtels et centres de conférences pour dérober les identifiants Microsoft 365 des voyageurs d’affaires.
L’attribution à Storm-2945, sous-cluster d’APT29/Midnight Blizzard, confirme la nature étatique de la menace.
Mais non, mais non : Ce sont des « gentils » !
Et plutôt que d’attaquer frontalement les organisations, Moscow privilégie désormais la compromission des infrastructures partagées, une tactique qui maximise l’impact tout en brouillant les pistes.
APT29, également connu sous les noms de
Midnight Blizzard ou Cozy Bear, opère depuis au moins 2008 pour le compte du
SVR.
Ses cibles privilégiées incluent les gouvernements, les ONG et les prestataires informatiques en Europe et en Amérique du Nord.
L’objectif stratégique demeure constant : Collecter du renseignement pour soutenir les intérêts de politique étrangère de la Fédération de Russie : Des « amis » qui nous veulent du bien, nous affirment tous les « faux-kuls » de propagandistes !
Selon Microsoft Threat Intelligence, « les
opérations de Midnight Blizzard conduisent souvent à la compromission de
comptes valides et, dans des cas très ciblés, des techniques avancées pour
compromettre les mécanismes d’authentification au sein d’une organisation afin
d’élargir la surface d’attaque et éviter la détection ».
Le groupe se distingue par sa sophistication technique et sa capacité d’adaptation face aux défenses adverses.
Quant à CaptiveCrunch, il représente une
évolution majeure dans les méthodes d’APT29 : Plutôt que de cibler
directement les serveurs d’une organisation, Storm-2945 compromet les routeurs
Wi-Fi publics pour intercepter les connexions des utilisateurs légitimes.
La technique repose sur la manipulation des configurations DNS : Le trafic HTTP est redirigé vers une infrastructure contrôlée par les attaquants.
Les victimes se voient alors proposer de fausses mises à jour système (Windows, DirectX, Visual C++) qui dissimulent en réalité des malwares comme CornFlake RAT et ChocoShell.
Et depuis juillet 2026, les attaquants ont intégré le phishing par code d’appareil (device code phishing) à leur arsenal, permettant de contourner l’authentification multi-facteur.
ReliaQuest, société de cybersécurité, a initialement identifié ces modifications DNS sur des routeurs SOHO dans plusieurs villes « ricaines » et à l’étranger.
Microsoft a par ailleurs identifié des
compromissions généralisées affectant cinq secteurs stratégiques : Services
financiers, services professionnels, juridique, santé et énergie.
Le reste ne les intéresse pas.
Mais le commerce de détail figure également parmi ses cibles.
Quant à la portée géographique, elle s’étend à plusieurs pays, témoignant d’une coordination opérationnelle de haut niveau.
Les malwares déployés permettent la collecte
de « credentials », de « tokens de session », de fichiers
sensibles, de frappes clavier, voire de flux audio et vidéo.
L’accès shell distant offre aux opérateurs du SVR un contrôle total sur les machines infectées.
Pour les démocraties occidentales, la menace cyber s’ajoute donc aux défis technologiques posés par les adversaires stratégiques, qui restent des « amis animés de bonnes intentions à notre égard » pour les propagandistes : C’est d’ailleurs comme ça qu’on les reconnait.
Le choix de compromettre les réseaux captive
portal des hôtels plutôt que les serveurs d’entreprise relève également d’un
calcul stratégique : En attaquant une infrastructure tierce, le SVR
complique l’attribution et dilue la responsabilité juridique.
Les victimes ne peuvent pas directement accuser leurs employeurs de négligence sécuritaire. Ainsi, les hôtels, rarement équipés de défenses cyber avancées, constituent des cibles faciles.
De plus, la concentration de voyageurs d’affaires issus de secteurs sensibles dans ces lieux offre un ratio coût-bénéfice exceptionnel.
Une seule compromission de routeur peut exposer des dizaines, voire des centaines de comptes professionnels.
L’opération CaptiveCrunch s’inscrit donc dans
un contexte de tensions russo-occidentales « exacerbées ».
Avec des « amis-qui-nous-veulent-du-bien »…
Depuis l’invasion de l’Ukraine en 2022, les cyberattaques russes contre les infrastructures critiques occidentales se sont multipliées.
Le SVR, contrairement au GRU (renseignement militaire), privilégie l’espionnage discret au sabotage spectaculaire.
CaptiveCrunch illustre ainsi parfaitement la doctrine russe : Collecter massivement du renseignement pour préparer d’éventuelles opérations futures, tout en maintenant un déni plausible.
La dépendance croissante des organisations aux services cloud comme Microsoft 365 offre ainsi aux services de renseignement adverses des opportunités inédites.
Chaque identifiant dérobé ouvre potentiellement l’accès à des milliers de documents sensibles.
Les gouvernements occidentaux, les ONG
travaillant sur des dossiers sensibles (droits de l’homme, géopolitique) et les
prestataires IT critiques figurent ainsi parmi les cibles prioritaires d’APT29.
Un identifiant Microsoft 365 compromis peut donner accès aux emails, OneDrive, SharePoint et Teams d’une organisation toute entière. Les informations dérobées peuvent ensuite servir à préparer des opérations d’influence, à identifier des sources humaines ou à anticiper les décisions stratégiques adverses.
Et pour les entreprises de défense et leurs sous-traitants, la menace est particulièrement aiguë.
Ainsi les voyageurs d’affaires constituent des vecteurs d’infection privilégiés : Ils se connectent fréquemment à des réseaux non sécurisés et transportent des données sensibles sur leurs appareils.
Le phishing par code d’appareil représente également
une évolution préoccupante de nos « amis-qui-nous-veulent-du-bien ».
Lorsqu’un utilisateur tente de s’authentifier sur un réseau compromis, Storm-2945 le redirige vers un flux d’authentification par code d’appareil. La victime reçoit un code à saisir, croyant effectuer une authentification légitime. En réalité, les attaquants récupèrent le token d’accès valide, contournant ainsi l’authentification multi-facteur.
Microsoft a observé ces redirections pendant au moins deux semaines avant de publier son alerte. Les organisations ayant implémenté MFA sans configuration spécifique du flux device code se retrouvent donc très vulnérables.
Microsoft préconise plusieurs mesures
défensives immédiates : Les organisations doivent auditer leurs politiques
Entra ID (anciennement Azure AD) pour désactiver ou restreindre le flux device
code et les administrateurs doivent surveiller les tentatives d’authentification
inhabituelles, notamment depuis des adresses IP associées à des réseaux
hôteliers.
Quant aux voyageurs d’affaires, ils doivent privilégier les connexions VPN d’entreprise ou les hotspots personnels plutôt que les réseaux Wi-Fi publics.
Une mesure de bon sens : Je me promène toujours avec mes clés wifi personnelles.
L’alerte publiée vendredi dernier par
Microsoft Threat Intelligence appelle également à une coordination
internationale renforcée.
Les agences de renseignement occidentales devraient partager les indicateurs de compromission (IoCs) et les signatures des malwares CornFlake et ChocoShell pour améliorer la détection collective.
Voilà pour une guerre « à bas-bruit »
que nous mène le Moscow de « Pal-Poux-tine » alors qu’il se prétend
notre ami…
Et une fois de plus, un personnage qui embraye, le prétend tout autant et relaye les messages d’amitié contrariée des Russes et de leurs dirigeants, reste avant tout un propagandiste : C’est d’ailleurs à ça qu’on le reconnaît en dis-je.
Car, même si nous n’avons jamais rien fait pour y parvenir, désormais il est très clair que la « Sainte Russie » nous fait la guerre…
Et le nier, c’est définitivement être un traître
à sa propre patrie, par bêtise, par intérêt ou par veulerie, peu importe, il
faut s’éloigner des « propagandistes » pro-Moscou ou les éloigner
comme la
belle Xénia…
Qui était la bienvenue dans mon beau pays que le monde entier envie, jusqu’à ce qu’elle ne racontât que des konneries avec ses complices des médias sulfureux (qui en perdent toute crédibilité et devraient être tus) !
Pour mémoire (n’en déplaise à «
Pal-Poux-tine ») : LE PRÉSENT BILLET A ENCORE ÉTÉ RÉDIGÉ PAR UNE PERSONNE « NON
RUSSE » ET MIS EN LIGNE PAR UN MÉDIA DE MASSE « NON RUSSE », REMPLISSANT DONC
LES FONCTIONS D’UN AGENT « NON RUSSE » !
Post-scriptum : Alexeï Navalny est mort en détention pour ses opinions politiques. Les Russes se condamnent à perpétuité à en supporter toute la honte !
Постскриптум: Алексей Навальный умер в заключении за свои политические взгляды. Россияне обрекают себя на всю жизнь нести весlь позор!
Pétition · Renommez la rue de l’ambassade de Russie à Paris en rue Alexeï Navalny - France · Change.org
Et pourtant depuis mai 2024, le SVR russe, (Sloujba vnechnei razvedki) le service civil de renseignement extérieur de la Fédération de Russie qui aura succédé au KGB, mène via Storm-2945 une campagne massive de cyber-espionnage ciblant les réseaux Wi-Fi hôteliers pour dérober les identifiants Microsoft 365.
L’opération « CaptiveCrunch » combine manipulation DNS, malwares déguisés et phishing par code d’appareil pour contourner les authentifications multi-facteurs.
Les secteurs financier, juridique, sanitaire et énergétique de plusieurs pays occidentaux sont ainsi compromis.
Il se trouve « qu’infreequentable.com » n’a aucune existence physique réelle et quand on m’affirme qu’il va perdre des remboursements de soins ou être saisi pour ne pas avoir payer un PV routier, je rigole bien fort !
Le coût des attaques est en baisse et les failles sont détectées plus vite, rendant les vieux systèmes vulnérables.
Or, depuis mai 2024, le Service de renseignement extérieur russe (SVR) orchestre une campagne de cyber-espionnage d’une ampleur inédite. L’opération cible les réseaux Wi-Fi publics des hôtels et centres de conférences pour dérober les identifiants Microsoft 365 des voyageurs d’affaires.
L’attribution à Storm-2945, sous-cluster d’APT29/Midnight Blizzard, confirme la nature étatique de la menace.
Mais non, mais non : Ce sont des « gentils » !
Et plutôt que d’attaquer frontalement les organisations, Moscow privilégie désormais la compromission des infrastructures partagées, une tactique qui maximise l’impact tout en brouillant les pistes.
Ses cibles privilégiées incluent les gouvernements, les ONG et les prestataires informatiques en Europe et en Amérique du Nord.
L’objectif stratégique demeure constant : Collecter du renseignement pour soutenir les intérêts de politique étrangère de la Fédération de Russie : Des « amis » qui nous veulent du bien, nous affirment tous les « faux-kuls » de propagandistes !
Le groupe se distingue par sa sophistication technique et sa capacité d’adaptation face aux défenses adverses.
La technique repose sur la manipulation des configurations DNS : Le trafic HTTP est redirigé vers une infrastructure contrôlée par les attaquants.
Les victimes se voient alors proposer de fausses mises à jour système (Windows, DirectX, Visual C++) qui dissimulent en réalité des malwares comme CornFlake RAT et ChocoShell.
Et depuis juillet 2026, les attaquants ont intégré le phishing par code d’appareil (device code phishing) à leur arsenal, permettant de contourner l’authentification multi-facteur.
ReliaQuest, société de cybersécurité, a initialement identifié ces modifications DNS sur des routeurs SOHO dans plusieurs villes « ricaines » et à l’étranger.
Le reste ne les intéresse pas.
Mais le commerce de détail figure également parmi ses cibles.
Quant à la portée géographique, elle s’étend à plusieurs pays, témoignant d’une coordination opérationnelle de haut niveau.
L’accès shell distant offre aux opérateurs du SVR un contrôle total sur les machines infectées.
Pour les démocraties occidentales, la menace cyber s’ajoute donc aux défis technologiques posés par les adversaires stratégiques, qui restent des « amis animés de bonnes intentions à notre égard » pour les propagandistes : C’est d’ailleurs comme ça qu’on les reconnait.
Les victimes ne peuvent pas directement accuser leurs employeurs de négligence sécuritaire. Ainsi, les hôtels, rarement équipés de défenses cyber avancées, constituent des cibles faciles.
De plus, la concentration de voyageurs d’affaires issus de secteurs sensibles dans ces lieux offre un ratio coût-bénéfice exceptionnel.
Une seule compromission de routeur peut exposer des dizaines, voire des centaines de comptes professionnels.
Avec des « amis-qui-nous-veulent-du-bien »…
Depuis l’invasion de l’Ukraine en 2022, les cyberattaques russes contre les infrastructures critiques occidentales se sont multipliées.
Le SVR, contrairement au GRU (renseignement militaire), privilégie l’espionnage discret au sabotage spectaculaire.
CaptiveCrunch illustre ainsi parfaitement la doctrine russe : Collecter massivement du renseignement pour préparer d’éventuelles opérations futures, tout en maintenant un déni plausible.
La dépendance croissante des organisations aux services cloud comme Microsoft 365 offre ainsi aux services de renseignement adverses des opportunités inédites.
Chaque identifiant dérobé ouvre potentiellement l’accès à des milliers de documents sensibles.
Un identifiant Microsoft 365 compromis peut donner accès aux emails, OneDrive, SharePoint et Teams d’une organisation toute entière. Les informations dérobées peuvent ensuite servir à préparer des opérations d’influence, à identifier des sources humaines ou à anticiper les décisions stratégiques adverses.
Et pour les entreprises de défense et leurs sous-traitants, la menace est particulièrement aiguë.
Ainsi les voyageurs d’affaires constituent des vecteurs d’infection privilégiés : Ils se connectent fréquemment à des réseaux non sécurisés et transportent des données sensibles sur leurs appareils.
Lorsqu’un utilisateur tente de s’authentifier sur un réseau compromis, Storm-2945 le redirige vers un flux d’authentification par code d’appareil. La victime reçoit un code à saisir, croyant effectuer une authentification légitime. En réalité, les attaquants récupèrent le token d’accès valide, contournant ainsi l’authentification multi-facteur.
Microsoft a observé ces redirections pendant au moins deux semaines avant de publier son alerte. Les organisations ayant implémenté MFA sans configuration spécifique du flux device code se retrouvent donc très vulnérables.
Quant aux voyageurs d’affaires, ils doivent privilégier les connexions VPN d’entreprise ou les hotspots personnels plutôt que les réseaux Wi-Fi publics.
Une mesure de bon sens : Je me promène toujours avec mes clés wifi personnelles.
Les agences de renseignement occidentales devraient partager les indicateurs de compromission (IoCs) et les signatures des malwares CornFlake et ChocoShell pour améliorer la détection collective.
Et une fois de plus, un personnage qui embraye, le prétend tout autant et relaye les messages d’amitié contrariée des Russes et de leurs dirigeants, reste avant tout un propagandiste : C’est d’ailleurs à ça qu’on le reconnaît en dis-je.
Car, même si nous n’avons jamais rien fait pour y parvenir, désormais il est très clair que la « Sainte Russie » nous fait la guerre…
Qui était la bienvenue dans mon beau pays que le monde entier envie, jusqu’à ce qu’elle ne racontât que des konneries avec ses complices des médias sulfureux (qui en perdent toute crédibilité et devraient être tus) !
Post-scriptum : Alexeï Navalny est mort en détention pour ses opinions politiques. Les Russes se condamnent à perpétuité à en supporter toute la honte !
Постскриптум: Алексей Навальный умер в заключении за свои политические взгляды. Россияне обрекают себя на всю жизнь нести весlь позор!
Pétition · Renommez la rue de l’ambassade de Russie à Paris en rue Alexeï Navalny - France · Change.org
Aucun commentaire:
Enregistrer un commentaire