En compromettant les passerelles Wi-Fi captives au lieu des appareils des utilisateurs, les attaquants peuvent rediriger silencieusement le trafic d’authentification et voler les informations d’identification Microsoft 365.
Méfiez-vous des employés d’entreprise en déplacement : réfléchissez-y à deux fois avant de vous connecter à ce réseau Wi-Fi public si pratique.
Depuis au moins juin, les acteurs malveillants compromettent les passerelles Wi-Fi « captives » et autres appareils de portail dans les hôtels, centres de conférence et autres lieux partagés similaires pour détourner les comptes Microsoft 365 des utilisateurs, selon l’équipe ReliaQuest Threat Research.
Une fois qu’un acteur malveillant contrôle une passerelle, il peut rediriger silencieusement le trafic d’un utilisateur vers sa propre infrastructure et voler ses informations d’identification Microsoft 365 sans jamais toucher l’appareil de l’utilisateur, compromettre les points de terminaison ou envoyer des liens de phishing ou des pièces jointes malveillantes.
Exploiter une « confiance fondamentale »
L’empoisonnement du système de noms de domaine (DNS), dans lequel de fausses données sont injectées pour rediriger le trafic Web régulier vers des domaines frauduleux, a déjà été observé sur les routeurs de petites entreprises, mais les attaquants étendent désormais cette technique à des cibles de plus haut niveau, ont expliqué les chercheurs de ReliaQuest dans un article de blog.
Les attaquants accèdent probablement aux passerelles via des informations d’identification d’administrateur faibles ou réutilisées en combinaison avec des interfaces exposées telles que Secure Shell (SSH), Simple Network Management Protocol (SNMP) et d’autres consoles Web, ont-ils souligné.
L’accès administrateur à la passerelle est tout ce dont les acteurs malveillants ont besoin, car les appareils sont conçus pour faire confiance au DNS, qui traduit les noms de domaine tels que login.microsoftonline(.)com en adresses IP pour les acheminer. Par conséquent, une compromission d’une passerelle unique donne à l’attaquant la possibilité de rediriger le trafic de chaque invité se connectant au réseau, en fournissant des adresses IP qu’il contrôle en réponse aux requêtes DNS, plutôt que les adresses légitimes, sans toucher à un seul point de terminaison.
« Les appareils de portail captif se trouvent dans le périmètre du réseau pour chaque invité de ce réseau », ont écrit les chercheurs. « La détection est intrinsèquement difficile car l’attaque se produit côté passerelle, hors de la visibilité du point final. »
Dans la campagne suivie par ReliaQuest, quatre domaines enregistrés par l’attaquant, m365-owa(.)com, owa-ms365(.)com, ms365-device(.)com et ms365-live(.)com, ont été utilisés pour les leurres d’usurpation d’identité Microsoft.
Les passerelles Wi-Fi compromises ont été découvertes dans plusieurs villes américaines ainsi qu’en Inde et en Arabie Saoudite, et les utilisateurs concernés appartenaient à des entreprises des secteurs des services professionnels et financiers, du droit, de la vente au détail, des soins de santé et de l’énergie, ce qui indique que la méthode n’est pas spécifique à un secteur.
« Nous avons vu suffisamment de cas d’exfiltration de SharePoint pour savoir qu’un seul compte ouvert peut entraîner une perte de données significative », a noté ReliaQuest. En revanche, pour les opérateurs de réseaux, il y a une « dimension réputationnelle » ; la compromission des utilisateurs est un « sérieux problème de confiance et de marque, quelle que soit la sophistication de l’attaque sous-jacente ».
Services sécurisés, DNSSEC ne suffit pas
Verrouiller les configurations réseau sur un fournisseur DNS « sûr » tel que Google (8.8.8.8), Cloudflare (1.1.1.1) ou OpenDNS basé sur le cloud n’est pas une tactique suffisante, car cela ne modifie pas le chemin parcouru par les requêtes, a soutenu ReliaQuest.
Par défaut, les appareils envoient des requêtes DNS sous forme de trafic de protocole non crypté, et ces paquets doivent toujours traverser le réseau de l’hôtel pour atteindre Google, Cloudflare ou OpenDNS, a expliqué la société. Étant donné que la passerelle se trouve directement dans ce chemin, elle peut inspecter, bloquer ou rediriger la requête avant qu’elle n’atteigne le résolveur choisi.
« Spécifier un serveur DNS de confiance modifie la destination prévue, et non la personne qui contrôle la route pour y arriver », a noté ReliaQuest.
De plus, les extensions de sécurité du système de noms de domaine (DNSSEC), qui utilisent des signatures numériques et une cryptographie à clé publique, ne résolvent que « partiellement » le problème. DNSSEC assure l’authentification et l’intégrité des domaines signés, ce qui signifie qu’un résolveur de validation peut détecter et rejeter les réponses falsifiées ou falsifiées.
« Ce qu’il ne fait pas, c’est assurer la confidentialité ou la disponibilité », a déclaré la société. « Il ne crypte pas le trafic DNS et n’empêche pas un attaquant d’intercepter, de bloquer ou de rediriger les requêtes. »
Ainsi, même si DNSSEC peut vaincre certaines attaques de falsification de réponses contre les zones signées, une passerelle sur le chemin peut toujours voir les requêtes, les supprimer ou forcer un comportement de repli. Cependant, cette couche de protection n’est utile que lorsque les domaines sont réellement signés, et seulement lorsque le client ou le résolveur effectue une validation, ce que « de nombreux résolveurs de stub ne font pas », selon ReliaQuest.
VPN à tunnel complet requis
Pour lutter contre ce problème, les entreprises devraient exiger que tous les appareils d’entreprise utilisent un VPN à tunnel complet pour la connexion réseau. Les contrôles devraient empêcher l’accès à Internet jusqu’à ce qu’un tunnel soit actif, a conseillé ReliaQuest.
Cela acheminera tout le trafic d’un appareil, y compris le DNS, via une connexion cryptée vers un serveur VPN de confiance avant qu’il ne soit envoyé ailleurs, a expliqué la société, empêchant ainsi les réseaux locaux comme les passerelles d’hôtel de voir ou de modifier le DNS et le trafic Internet.
« En fait, cela élimine le réseau non fiable de l’équation de confiance », a noté ReliaQuest.
Cependant, la configuration en tunnel complet n’est pas la configuration par défaut pour les VPN, car elle entraîne de « vrais compromis », ont noté les chercheurs : elle ajoute des coûts, de latence et des exigences en matière de bande passante, puisque chaque paquet doit transiter par l’infrastructure de l’entreprise. Ainsi, forcer tout le trafic à passer par le réseau fédérateur de l’entreprise n’est « pas toujours pratique » pour les effectifs distribués ou gourmands en bande passante.
Les entreprises devraient également appliquer un accès conditionnel dans Entra ID pour bloquer le flux d’authentification du code de l’appareil, qui présente peu de cas d’utilisation légitimes pour la plupart des utilisateurs dans la plupart des environnements, a noté ReliaQuest.
Précautions supplémentaires
La société a également conseillé :
- Restreindre la récupération des fichiers de configuration automatique du proxy (PAC) aux hôtes internes approuvés ;
- Désactivation de la découverte automatique du proxy Web (WPAD) via la stratégie de groupe (cela est souvent activé par défaut dans Windows) ;
- Déployer des DNS cryptés tels que DoH ou DoT en mode strict comme « complément ou alternative » au VPN tunnel complet. Ceci est particulièrement important pour les organisations où un VPN permanent n’est pas réalisable.
- Former les employés à vérifier l’URL et le certificat de toute page demandant des informations d’identification avant de les saisir, notamment sur les réseaux Wi-Fi publics.
La prévention est ici plus importante que la détection, a souligné ReliaQuest : alors que dans des outils comme Microsoft Defender for Endpoint, » les événements montrant des requêtes vers des domaines contrôlés par des attaquants sont un signal principal au niveau du point final, » au moment où ces événements se déclenchent, la redirection a généralement déjà eu lieu. En d’autres termes, la télémétrie du point final confirme ce qui s’est passé plus qu’elle ne l’empêche. «
C’est exactement pourquoi des méthodes telles que le transport crypté, l’accès conditionnel et le renforcement WPAD et PAC sont plus importantes que la détection seule, ont souligné les chercheurs.
