Tweeter

Depuis des années, des réseaux d’ordinateurs pilotés à distance contrôlent des dizaines de milliers de terminaux dans le monde ; les experts en sécurité trouvent difficilement des parades.

Depuis plus de quinze ans, les experts en sécurité informatique se battent désespérément contre les botnets, ces outils à la base de toutes les grandes attaques informatiques.

La bataille s’avère difficile.

Un botnet est un réseau clandestin d’ordinateurs dont un pirate a pris le contrôle à distance, grâce à un logiciel malveillant (un « malware »).

Une fois infecté, l’ordinateur devient un « zombie », un maillon docile dans une vaste chaîne.

A partir de son centre de commande, le « botmaster » (le pirate qui le contrôle) , peut, à l’insu de son propriétaire, l’utiliser pour mener une série d’actions malveillantes : bloquer des serveurs, envoyer du spam, générer  des virus spécialisés, voler des données personnelles, fausser les statistiques de trafic d’un site, ou combiner la puissance de calcul d’un grand nombre de zombies pour effectuer des calculs complexes par exemple craquer un mot de passe.

Localiser  un centre de commande devient très difficile.

De nos jours, un grand botnet peut compter plus de dix millions d’ordinateurs, avec une puissance quasi-invincible.

Quant aux petits botnets, qui comptent quelques milliers de zombies, ils sont devenus fréquents.

Grâce à des analyses minutieuses, les experts en sécurité parviennent de temps à autre à localiser un centre de commande, qui pourra ensuite être neutralisé avec l’aide plus ou moins appuyée de la police du pays d’accueil.

En décembre 2015, Microsoft a annoncé le démantèlement de Dorkbot, un botnet rassemblant plus d’un million de machines, spécialisé dans le vol d’identifiants de services en ligne comme Netflix ou eBay.

Dorkbot, qui s’attaquait aux ordinateurs équipés d’anciennes versions de Windows, déposait son malware par e-mail, via Facebook, des messageries instantanées ou des sites Web piégés, et même hors-ligne, dans des clés USB. Sa neutralisation fut une opération lourde  

Des résultats insuffisants depuis 10 ans.

Lors de la conférence BotConf 2015 réunissant  265 experts de 34 pays à Paris début décembre, l’ambiance n’était pas très optimiste : les intervenants ont surtout insisté sur les progrès constants réalisés par les botmasters.

Certains botnets fonctionnent sans interruption depuis plus de dix ans, les pirates les améliorant constamment pour déjouer la surveillance : chiffrement du trafic, re routage via des réseaux d’anonymisation comme Tor et IP2, intégration des données volées dans des images anodines postées sur des réseaux sociaux récupérées par le botmaster…

Les plus sophistiqués possèdent même des systèmes d’alarme qui préviennent le botmaster lorsqu’une société de sécurité tente d’analyser le fonctionnement d’un échantillon de leur malware.

Les experts en sécurité doivent alors créer des outils leur permettant d’observer les botnets sans être eux-mêmes repérés et attaqués…

Une technique pour échapper à la surveillance : certains botnets, comme ceux qui diffusent les malware Conficker ou BankPatch, utilisent des algorithmes capables de générer en une journée des dizaines de milliers de noms de domaine valides qui deviennent des points de rendez-vous éphémères entre le centre de commande et ses zombies.

Ce procédé permet de ne pas apparaître sur les listes noires de sites à proscrire, établies par les antivirus.

Des botmasters réussissent même à passer par Twitter.

Leur malware est programmé pour connecter l’ordinateur infecté à un compte Twitter, qui va lui transmettre ses instructions sous forme de lignes de commande.

Si le compte est repéré et désactivé, il suffira au botmaster d’en créer un nouveau : dès l’origine, le malware contient une liste de futurs noms de comptes auxquels se connecter, au cas où le premier disparaîtrait.

L’Internet des objets dans le viseur des pirates

Le phénomène le plus inquiétant est sans doute la prolifération des mini-botnets amateurs, qui peuvent être créés en quelques minutes, grâce à des outils disponibles sur Internet.

Ainsi, DarkComet, créé par un Français, se présente comme un simple outil d’administration à distance d’ordinateurs.

En réalité, il donne au pirate le contrôle intégral de la machine infectée, et même des « superpouvoirs » sur le système d’exploitation que le propriétaire officiel de l’ordinateur ne possède pas.

Les botnets ont sans doute de beaux jours devant eux, car désormais, ils s’attaquent aux smartphones, selon les mêmes principes et avec des résultats similaires.

Les botmasters commencent aussi à s’intéresser à « l’Internet des objets » et aux « maisons intelligentes », en menant des attaques contre les petits routeurs domestiques, souvent dépourvus de protections efficaces.

Un malware spécialisé dans ce type d’attaque a récemment été découvert par des Canadiens, qui l’ont baptisé Moose (élan).

Selon eux, Moose permet aux pirates de passer par un routeur domestique pour se connecter sur Facebook, Instagram, Twitter et YouTube, et y organiser des fraudes visant des sites marchands.