Le DOJ et le FBI démantèlent le réseau de détournement DNS du GRU
Le ministère américain de la Justice et le FBI ont annoncé le démantèlement d’un réseau de routeurs SOHO compromis par le GRU, qui détournait les requêtes DNS pour intercepter identifiants et courriels chiffrés. La leçon tient en une phrase : le routeur domestique est devenu le point d’interception privilégié des services de renseignement, et il se protège comme une surface d’attaque.
Depuis au moins 2024. Le GRU russe — plus précisément le 85th Main Special Service Center (85th GTsSS), connu sous les noms APT28, Fancy Bear et Forest Blizzard — exploite des routeurs vulnérables dans le monde entier pour intercepter des informations militaires, gouvernementales et d’infrastructures critiques. 7 avril 2026. Le NCSC britannique publie l’avis « APT28 exploit routers to enable DNS hijacking operations ». Été 2026. Le DOJ et le FBI, épaulés par la NSA et quinze partenaires internationaux, annoncent le démantèlement d’un réseau de routeurs SOHO compromis qui servait de colonne vertébrale à ces opérations.
Ce qui est visé ici n’est pas un exploit spectaculaire, mais une couche que tout le monde croit fiable : la résolution DNS. C’est elle que le GRU a transformée en point d’interception, et c’est là que la défense doit se concentrer.
Le détournement DNS, la méthode la plus discrète
Quand un analyste voit du trafic chiffré passer par un VPN ou TLS, il suppose que le contenu est protégé. Le GRU contourne cette hypothèse en amont, au niveau du routeur. L’attaquant change les réglages DHCP et DNS de l’appareil pour y injecter des résolveurs DNS contrôlés par l’acteur. Tous les équipements connectés — ordinateurs portables, téléphones, objets connectés — héritent de ces réglages modifiés, sans que l’utilisateur n’ait rien installé ni rien cliqué.
La suite est mécanique. L’infrastructure contrôlée par le GRU résout et capture les requêtes de tous les noms de domaine. Pour certains domaines et services ciblés — notamment Microsoft Outlook Web Access — elle renvoie des réponses DNS frauduleuses qui redirigent la victime vers un serveur contrôlé. Si l’utilisateur passe outre l’avertissement de certificat, l’attaquant monte une attaque de l’homme du milieu (adversary-in-the-middle, AitM) et lit le trafic en clair, alors même qu’il était « protégé » par SSL/TLS.
Le butin est à la hauteur de la discrétion : mots de passe, jetons d’authentification, courriels et historique de navigation — tout ce qui aurait dû rester chiffré. Le FBI précise la méthode de tri : le GRU compromet d’abord sans discrimination un large vivier de victimes américaines et mondiales, puis filtre les utilisateurs pour se concentrer sur les profils liés au militaire, au gouvernement et aux infrastructures critiques.
Le routeur SOHO, maillon faible de la chaîne
Le point d’entrée n’est pas une infrastructure d’entreprise, mais le routeur de la petite entreprise ou du domicile. Le FBI documente notamment l’exploitation de routeurs TP-Link via CVE-2023-50224, une faille connue qui permet de prendre la main sur l’appareil. Ces boîtiers cumulent trois faiblesses structurelles : des firmwares rarement mis à jour, des identifiants par défaut jamais changés, et des interfaces d’administration à distance laissées exposées sur Internet.
C’est un renversement de la géographie de la menace. Le GRU n’a pas eu besoin de percer un périmètre d’entreprise : il a récolté les clés du réseau à domicile, là où le télétravail a déplacé une partie du trafic sensible. Un employé qui consulte sa messagerie professionnelle depuis sa box personnelle expose l’organisation sans que le SI n’ait le moindre contrôle sur le routeur en question.
La CISA l’a acté dans ses recommandations sur la sécurité des appareils de périphérie (edge devices) : ces équipements ne sont plus des accessoires, mais des surfaces d’attaque à part entière, à inventorier, à patcher et à surveiller comme des serveurs.
Un démantèlement qui cible l’infrastructure, pas l’exploit
L’opération du DOJ et du FBI est la partie la plus instructive. Elle ne s’attaque pas à une vulnérabilité logicielle — CVE-2023-50224 reste corrigible par le constructeur — mais à l’infrastructure de résolution : le réseau de routeurs compromis et les résolveurs contrôlés qui faisaient tourner la machine. C’est la même logique que les démantèlements de botnets : couper le point de contrôle central, plutôt que neutraliser une IP à la fois.
La coalition est inhabituelle par son ampleur. Aux côtés du FBI et de la NSA figurent quinze partenaires : Canada, Tchéquie, Danemark, Estonie, Finlande, Allemagne, Italie, Lettonie, Lituanie, Norvège, Pologne, Portugal, Roumanie, Slovaquie et Ukraine. Un détournement DNS ne respecte aucune frontière — un routeur compromis à Prague peut intercepter la messagerie d’un employé à Berlin — et la riposte, elle non plus.
Le NCSC-UK avait déjà publié, le 7 avril 2026, les indicateurs techniques et la description du mode opératoire, avec une consigne claire : les routeurs SOHO en fin de support doivent être remplacés, pas seulement patchés.
Pourquoi le DNS reste si difficile à défendre
La difficulté de ce genre de campagne tient à la nature du DNS lui-même. Le client d’un appareil ne vérifie pas, par défaut, que le résolveur qui lui répond est légitime : il fait confiance à celui que le DHCP lui a assigné. Si l’attaquant contrôle le DHCP, il contrôle donc toute la résolution en aval, sans qu’aucune alerte ne se déclenche sur l’appareil compromis.
Le réflexe « DNSSEC va régler ça » ne tient pas ici. DNSSEC authentifie les réponses de la zone, pas la connexion entre le client et le résolveur. Un résolveur contrôlé par l’attaquant peut répondre de façon frauduleuse à des domaines dont il gère lui-même la résolution, ou relayer du trafic modifié — le DNSSEC du domaine légitime n’empêche pas l’AitM sur la couche transport. La vraie défense se joue donc au niveau du routeur et du résolveur, pas dans le contenu des réponses.
C’est ce qui rend le détournement si rentable : il exploite la confiance par défaut de la couche de résolution, celle que personne ne surveille parce que « le DNS, ça marche ».
Ce qu’il faut faire, concrètement
La défense se joue à deux niveaux, et aucun ne demande un budget de sécurité d’État.
- Au niveau de l’appareil. Mettre à niveau les routeurs en fin de support, appliquer les firmwares récents, changer les identifiants par défaut, et surtout désactiver la gestion à distance exposée sur Internet. Un routeur qui n’est pas joignable de l’extérieur ne peut pas être recruté de l’extérieur.
- Au niveau du réseau. Vérifier régulièrement les réglages DNS et DHCP des équipements de périphérie : un résolveur inconnu qui apparaît dans la configuration d’une box est le signal d’un détournement en cours, pas une bizarrerie.
- Au niveau des usages. Rappeler aux utilisateurs de ne jamais passer outre un avertissement de certificat — c’est précisément la porte que l’AitM emprunte. Pour le télétravail, imposer un VPN d’entreprise et des configurations applicatives durcies plutôt que de laisser les équipements personnels toucher directement les services sensibles.
La recommandation de la CISA résume l’essentiel : la sécurité des appareils de périphérie doit être traitée comme une priorité, pas comme un post-scriptum du parc informatique.
Verdict
Si vous administrez un parc d’entreprise, ajoutez le routeur SOHO des télétravailleurs à votre périmètre de responsabilité : il est aujourd’hui le point d’interception le plus rentable pour un acteur étatique, et il échappe à la plupart des inventaires. La vérification des résolveurs DNS configurés sur les équipements de périphérie est le contrôle le plus rentable que vous puissiez déployer cette semaine.
Si vous êtes un particulier ou une petite structure, la mesure la plus efficace n’est pas technique mais disciplinaire : remplacez les routeurs en fin de support, changez les mots de passe par défaut, coupez la gestion à distance, et considérez qu’un avertissement de certificat n’est jamais un détail à ignorer. Le GRU compte précisément sur le fait que vous le traitiez comme tel.