En résumé:
- PCWorld rapporte que les pirates informatiques russes de « Fancy Bear » exploitent les vulnérabilités du routeur TP-Link pour mener des attaques de piratage DNS ciblant les données personnelles et gouvernementales.
- La campagne redirige les utilisateurs vers de faux sites Web pour voler des mots de passe et des informations bancaires, les services de renseignement allemands, le FBI et la NSA enquêtant sur ces infiltrations de routeurs.
- Les utilisateurs doivent immédiatement mettre à jour le micrologiciel du routeur et surveiller les redirections suspectes ou les avertissements de sécurité pour se protéger contre ces attaques en cours.
Diverses autorités émettent désormais des avertissements qui concernent les utilisateurs de certains modèles de routeurs. Ces routeurs seraient la cible d’une campagne de piratage à grande échelle de la part d’acteurs russes. Les inquiétudes se concentrent sur les routeurs TP-Link, même si d’autres fabricants seraient également concernés.
Le groupe de hackers « Fancy Bear » (également connu sous le nom de « APT 28 ») serait à l’origine des attaques contre ces routeurs. Dans le passé, ils ont mené des attaques contre des entreprises soutenant l’Ukraine dans la guerre contre la Russie. On leur attribue également une attaque contre le contrôle aérien allemand et contre le siège du parti allemand SPD.
Cet avertissement (traduit automatiquement) de l’agence de renseignement intérieure allemande indique que le groupe a « infiltré les routeurs Internet TP-Link vulnérables dans le monde entier pour obtenir des informations militaires, des informations gouvernementales ou des informations sur les infrastructures critiques ».
Selon Spiegel Netzwelt (également traduit automatiquement), certaines entreprises et ménages auraient été informés de la menace dès la mi-mars. Les lettres contenaient des détails concernant les appareils concernés. Le FBI et la NSA seraient également impliqués dans les enquêtes.
À quoi ressemble la menace
Ces attaques de routeur entrent dans la catégorie du piratage DNS, où les pirates tentent de rediriger les utilisateurs vers de faux sites Web dans l’espoir qu’ils divulguent des informations personnelles, des mots de passe ou des coordonnées bancaires. Alternativement, les utilisateurs sont infectés par des logiciels malveillants après avoir téléchargé des fichiers.
Les pirates informatiques cibleraient principalement les informations susceptibles d’aider le service de renseignement militaire russe GRU. En Allemagne, les enquêteurs internationaux ont déjà identifié 30 appareils susceptibles d’être utilisés pour ce type d’attaque. Les premiers incidents remonteraient à au moins 2024.
Comment se protéger
Les attaquants exploitent une faille de sécurité connue dans les routeurs TP-Link, qui a déjà été corrigée par le fabricant. Toute personne possédant un routeur TP-Link doit donc vérifier dès que possible si toutes les dernières mises à jour du micrologiciel du routeur ont été installées.
Faites également attention aux signes typiques d’un piratage DNS :
- Redirections fréquentes vers d’autres sites Web
- Avertissements de sécurité de votre navigateur ou de votre logiciel antivirus
- Fréquence accrue des pop-ups et des publicités suspectes
- Temps de chargement inhabituellement longs malgré une connexion Internet stable
- Serveurs DNS modifiés (vous pouvez les vérifier dans les paramètres de votre routeur)
Dans le même ordre d’idées, le gouvernement américain a récemment interdit l’importation de routeurs étrangers en raison des craintes d’espionnage et d’attaques malveillantes contre les infrastructures réseau critiques. Bien que TP-Link possède une succursale américaine depuis plusieurs années, l’entreprise est originaire de Chine et est donc également concernée par l’interdiction.
