Les botnets : réseaux clandestins et contre-mesures
Les botnets sont à l'origine de nombreuses cyberattaques de grande envergure. Cela comprend les attaques par déni de service distribué (DDoS) ainsi que les campagnes de pourriels et d'hameçonnage. Ils sont aussi derrière les attaques par bourrage d'identifiants qui mènent ensuite à des brèches de données. Pour mettre en place des contre-mesures de cybersécurité efficaces contre ces menaces, il faut d'abord bien comprendre de quoi il s'agit. Qu'est-ce donc qu'un botnet ? En résumé, il s'agit d'un réseau clandestin d'ordinateurs compromis. Nous approfondirons cette définition et bien d'autres détails connexes dans ce guide complet.
Dans les sections qui suivent, nous expliquerons ce que sont les botnets, les différents types qui existent et les catégories de cyberattaques qui sont lancées à partir d'eux. Nous aborderons également les efforts actuels des gouvernements et du secteur privé contre ces réseaux malveillants. Plus important encore, nous discuterons des contre-mesures que vous pouvez appliquer face à ces réseaux hautement furtifs. Nous avons beaucoup à couvrir, alors préparez-vous un bon café et commençons.
Qu'est-ce qu'un botnet ?
Un botnet est un réseau d'ordinateurs infectés par un maliciel et contrôlés par un serveur centralisé. Ce serveur centralisé porte le nom bien choisi de serveur de commande et de contrôle, ou serveur C2 ou C&C. Les ordinateurs infectés sont souvent appelés « zombies », tandis que le maliciel qui les infecte est appelé « maliciel de botnet » ou simplement « bot ». Un maliciel de botnet peut infecter des centaines, voire plus d'un million d'appareils. Ainsi, la puissance de frappe cumulée d'un seul botnet peut être colossale.
Les maliciels de botnet sont conçus pour être furtifs, afin que les utilisateurs zombifiés ignorent leur présence. Certains bots emploient même des techniques d'évasion avancées qui les rendent pratiquement indétectables par les antivirus ordinaires, comme ceux qui reposent uniquement sur des méthodes de détection par signature. Plus les bots individuels demeurent cachés longtemps, plus le botnet lui-même reste opérationnel longtemps. Les bots sont si furtifs que la plupart des utilisateurs dont l'ordinateur a déjà été zombifié ignorent que leur appareil participe déjà, par exemple, à une attaque DDoS.
Dans le rapport 2023 de Verizon sur les enquêtes relatives aux brèches de données, le déni de service (DoS) a été désigné comme la principale catégorie d'action malveillante dans les cyberincidents. Environ quarante pour cent des cyberincidents de la dernière année étaient des attaques DoS. Puisque les attaques DoS d'aujourd'hui exigent un grand nombre de sources d'attaque pour être percutantes, elles sont souvent perpétrées par des botnets et constituent essentiellement des attaques DDoS. Alors oui, on peut affirmer sans crainte que les botnets sont derrière un fort pourcentage des cyberincidents que subissent les entreprises aujourd'hui.
Source : rapport 2023 de Verizon sur les enquêtes relatives aux brèches de données
Les types de botnets
Il existe trois types de botnets : C&C, P2P et IdO. Examinons-les un à un.
Les botnets de commande et de contrôle
Un botnet de commande et de contrôle, ou C&C, est un botnet traditionnel. Comme son nom l'indique, il est contrôlé par un serveur centralisé. Ce serveur (ou ces serveurs) est à son tour contrôlé par un opérateur de botnet humain. Dès que le maliciel de botnet zombifie un appareil, le zombie établit une communication avec son C&C. Le C&C transmet ensuite des commandes au zombie. Par exemple, le C&C peut ordonner à ses zombies de lancer une attaque DoS contre un réseau ciblé.
En raison de la nature centralisée du botnet C&C, les opérateurs peuvent facilement transmettre des commandes à l'ensemble de leurs bots. Ils émettent simplement la commande par l'entremise du C&C, et celui-ci la relaie à tous les bots membres. Cette structure présente toutefois une faiblesse majeure : le C&C devient un point de défaillance unique. Si les autorités parviennent à saisir le C&C, tout le botnet s'effondre.
Parmi les botnets de type C2 les plus notoires de l'histoire, on compte les suivants :
Botnet
Durée de vie
Taille
(nombre de zombies)
Attaque habituellement associée
Mai 2009 - déc. 2009
Attaque DDoS
Déc. 2008 - nov. 2016
Des centaines de milliers
Août 2016 - toujours actif
Des centaines de milliers
Attaque DDoS
Les botnets pair-à-pair (P2P)
Alors que les botnets C2 sont fortement centralisés, les botnets de type P2P sont exactement à l'opposé. Ils sont décentralisés et dépourvus de point de contrôle unique. Par conséquent, ils n'ont pas non plus de point de défaillance unique. Cela rend les botnets P2P beaucoup plus difficiles à démanteler que leurs homologues de type C2. Même si certains bots sont neutralisés, l'ensemble du botnet peut continuer à fonctionner.
C'est possible parce qu'un appareil infecté peut servir à la fois de bot et de centre de commandement. Un opérateur de botnet peut transmettre des commandes à un seul bot ou à quelques-uns, et ces bots propageront les commandes aux bots voisins. Ces bots voisins peuvent à leur tour propager lesdites commandes à leurs propres voisins, et ainsi de suite.
Parmi les botnets P2P les plus médiatisés, on compte les suivants :
Durée de vie
Taille
(nombre de zombies)
Attaque habituellement associée
Nov. 2011 - juin 2014
Des centaines de milliers
Quelque part en 2016 - oct. 2020
Plus d'un million
Diffusion de maliciels
Janv. 2007 - fin 2008
Des dizaines de millions
Attaque par pourriels
Les botnets de l'Internet des objets (IdO)
Les botnets C&C et P2P se distinguent surtout par leur architecture. L'un est centralisé, l'autre est distribué. Le troisième type de botnet dont nous allons parler ne se caractérise pas par une architecture différente. Son attribut déterminant est plutôt la nature des appareils qui le composent. Les botnets traditionnels, qu'ils soient de type C&C ou P2P, sont habituellement constitués de serveurs, d'ordinateurs portables ou d'ordinateurs de bureau. Les botnets IdO, quant à eux, sont constitués d'objets connectés.
Ces appareils peuvent aller des caméras IP aux imprimantes, en passant par les routeurs et même les enregistreurs numériques. Cela dit, certains botnets IdO utilisent une architecture centralisée (de type C&C) et d'autres une architecture distribuée (de type P2P). Mirai, par exemple, est un botnet IdO qui utilise l'architecture C&C. Tsunami, pour sa part, utilise une architecture P2P.
Comme l'IdO est une technologie relativement récente (du moins comparativement aux technologies des ordinateurs et des serveurs), la plupart des fabricants d'objets connectés se concentrent sur la fonctionnalité et la rapidité. Ils accordent très peu d'attention, voire aucune, à la sécurité. C'est pourquoi de nombreux objets connectés sont hautement vulnérables et peuvent facilement être infectés par différents types de maliciels. Cela comprend les maliciels de botnet. Les entreprises qui utilisent des objets connectés risquent ainsi de devenir, à leur insu, des vecteurs de cyberattaques lancées par des botnets.
Beaucoup d'entreprises déploient aujourd'hui de multiples objets connectés. L'adoption de l'IdO continue de grimper : un rapport de Business Insider prévoit qu'il y aura 41 milliards d'objets connectés d'ici 2027. Puisque bon nombre de ces objets connectés sont truffés de vulnérabilités, ils exposent les entreprises à des cybermenaces comme les botnets.
Le nombre colossal d'objets connectés en service, conjugué au fait que certains de ces appareils sont conçus pour consommer beaucoup de bande passante (les caméras IP, par exemple), permet aux botnets IdO de produire de puissantes attaques par déni de service. Les attaques DoS de Mirai contre les sites Krebs et Dyn en 2016 comptent encore parmi les plus vastes attaques DoS de l'histoire.
Les cas d'utilisation des botnets
Nous avons déjà mentionné plus tôt dans cet article certains « cas d'utilisation » des botnets, comme les attaques DoS et les attaques par pourriels. Nous n'avons toutefois pas encore expliqué en détail comment les botnets mènent concrètement ces attaques. C'est ce que nous verrons dans les sous-sections qui suivent.
Les attaques par déni de service distribué (DDoS)
Une attaque DDoS n'est qu'un type d'attaque DoS qui exploite des sources d'attaque géographiquement dispersées plutôt qu'une source unique. Les attaques DDoS sont normalement plus vastes et, par conséquent, plus perturbatrices que les attaques DoS ordinaires. La plupart des attaques DoS actuelles — du moins celles qui font les manchettes — sont des attaques DDoS. Les bots qui composent un botnet sont normalement dispersés géographiquement. Les attaques DoS lancées par des botnets sont donc presque assurément des attaques DDoS.
Dans une attaque DDoS typique, les opérateurs de botnet envoient à leurs bots des commandes qui les amènent à inonder le système ou le réseau ciblé d'un volume de trafic écrasant. Le trafic entrant force la cible à traiter des requêtes qui consomment ensuite ses ressources de calcul. La cible finit alors par rejeter les requêtes légitimes ou par devenir indisponible.
Les attaques DDoS lancées par des botnets peuvent être colossales. Les attaques du botnet Mirai contre le fournisseur DNS Dyn en 2016 ont atteint un sommet de 1,2 térabit par seconde (Tbit/s). En 2022, le botnet Fodcha, spécialisé dans les attaques DDoS, aurait acquis la capacité de lancer des attaques de l'ordre de 1 Tbit/s. Comme nous l'avons mentionné plus tôt, une grande partie des cyberincidents actuels sont des attaques DoS ; elles surviennent donc assez fréquemment. Pour mettre les choses en perspective, Microsoft a atténué au moins un demi-million d'attaques DDoS contre son infrastructure mondiale en 2022.
Les campagnes de pourriels et d'hameçonnage
Bien que les botnets soient souvent associés aux attaques DDoS, ils mènent aussi d'autres types de cyberattaques. Par exemple, les botnets exécutent fréquemment des campagnes de pourriels et d'hameçonnage. Pour mener ce type d'attaque, les botnets infectent généralement des systèmes sur lesquels un logiciel de messagerie est installé.
Une fois les systèmes infectés préparés, l'opérateur du botnet exécute des commandes et fournit le contenu du courriel ainsi que d'éventuelles pièces jointes. Chaque bot enrôlé dans la campagne se met alors à expédier de grands volumes de pourriels et de courriels d'hameçonnage. Le botnet Necurs, par exemple, aurait envoyé des millions de pourriels en moins d'un mois, en septembre 2018.
Le bourrage d'identifiants et les brèches de données
Les botnets utilisés pour le bourrage d'identifiants sont alimentés par une liste d'identifiants de connexion. Ces identifiants proviennent souvent de brèches de données antérieures. Beaucoup d'utilisateurs réemploient les mêmes noms d'utilisateur (souvent simplement leur adresse courriel) et les mêmes mots de passe sur plusieurs sites. Ainsi, même si les identifiants dérobés appartiennent à un seul site, les botnets de bourrage d'identifiants parviennent tout de même à s'introduire dans d'autres sites à l'aide de ces mêmes identifiants.
Les brèches de données causées par des attaques pilotées par botnet peuvent être plus ardues à contrer sur le plan défensif. Les attaques par botnet sont d'une bien plus grande ampleur et d'un bien plus grand volume. Un seul botnet peut donc mener simultanément de multiples attaques par bourrage d'identifiants. De plus, les botnets sont capables de répartir l'attaque sur de nombreuses adresses IP, ce qui complique la tâche des défenseurs qui cherchent à déterminer d'où provient l'attaque.
Dans le rapport 2022 de Verizon sur les enquêtes relatives aux brèches de données, les botnets ont été désignés comme l'une des quatre principales voies d'accès au patrimoine informationnel d'une organisation. Ce même rapport désignait aussi l'« utilisation d'identifiants dérobés » comme la principale catégorie d'action malveillante à l'origine des brèches de données.
Les contre-mesures contre les botnets
Les botnets constituent indéniablement une menace pour les entreprises. Ils peuvent leur coûter de l'argent, du temps et leur réputation. C'est pourquoi chaque organisation doit faire sa part pour éviter que ses systèmes ne soient asservis par un botnet. Quels sont donc les moyens de les contrer ?
La surveillance du réseau et la détection des intrusions
Avant qu'un botnet puisse exploiter les ressources de votre système ou de votre réseau, il doit d'abord franchir une série d'étapes. Ces étapes comprennent l'infection de votre système, l'établissement de communications avec son C&C ou avec ses pairs, et la transmission de commandes à votre système zombifié.
Vous pouvez empêcher un botnet d'atteindre l'étape de l'« attaque » si vous parvenez à le repérer et à intervenir dès ces premières étapes. Vous y arriverez grâce à une surveillance proactive du réseau. Vous pouvez, par exemple, déployer des systèmes de détection d'intrusion (IDS) qui surveillent le trafic entrant et sortant. Idéalement, votre IDS devrait être en mesure de repérer les comportements réseau anormaux ainsi que les connexions vers des serveurs ou des réseaux suspects. Dès que votre IDS détecte une activité potentiellement malveillante, vous pouvez mener une enquête plus approfondie afin de découvrir et, ultimement, d'éliminer la menace.
La formation et la sensibilisation des utilisateurs
De nombreuses infections par des maliciels de botnet surviennent en raison de mauvaises pratiques de sécurité chez les utilisateurs finaux. Par exemple, votre système peut être infecté lorsqu'un de vos utilisateurs clique sur un lien contenu dans un courriel d'hameçonnage. Ainsi, une façon de réduire au minimum les infections par botnet consiste à former vos utilisateurs sur les cybermenaces et la cybersécurité. Cela rehaussera leur vigilance en matière de sécurité et les rendra plus prudents dans le traitement des courriels ou l'exécution de toute tâche informatique. On ne saurait trop insister sur l'importance de la formation et de la sensibilisation des utilisateurs pour améliorer votre posture de cybersécurité. Dans le rapport 2023 sur le coût d'une brèche de données, la « formation du personnel » a été désignée comme le deuxième facteur de réduction des coûts d'une brèche de données.
Détection et suppression des maliciels
La « menace » évoquée plus haut désigne principalement le maliciel de botnet. Si vous parvenez à éliminer ce maliciel ou à le rendre inopérant, vous aurez réglé le problème du botnet. Tant que le maliciel de botnet ne peut pas communiquer avec son C&C, et vice versa, le botnet ne pourra pas contrôler votre système. Vous pouvez déployer des solutions antivirus et antimaliciel robustes pour vous y aider.
Les différentes solutions antimaliciel emploient différentes méthodes de détection. La détection par signature était autrefois la norme de fait. Aujourd'hui, toutefois, les solutions antimaliciel recourent à l'analyse heuristique, à la détection fondée sur les anomalies, à l'analyse du trafic réseau et à d'autres méthodes. Aucune méthode n'est parfaite à elle seule ; il vaut donc mieux opter pour une combinaison de solutions qui vous permet d'appliquer plusieurs méthodes.
Les solutions de mandataire inverse
Les mandataires inverses (reverse proxies) agissent comme intermédiaires entre votre hôte ou votre réseau et les utilisateurs ou systèmes externes. Dès qu'un mandataire inverse est déployé, toutes les requêtes entrantes vers votre système transitent par lui. Ainsi, celui qui contrôle ce mandataire inverse peut instaurer des règles qui autorisent, limitent ou bloquent complètement les connexions indésirables, comme les attaques DDoS.
Certains fournisseurs de services de mandataire inverse offrent des services infonuagiques appuyés par de multiples serveurs. Ces infrastructures massives leur permettent d'absorber d'imposantes attaques DDoS lancées par des botnets et d'éviter que vos systèmes ne soient submergés.
Les efforts concertés et les démantèlements
Vous n'êtes pas seul dans la lutte contre les botnets. Comme de nombreux opérateurs de botnet sont bien financés et bien organisés — certains étant même soutenus par des États —, les firmes de cybersécurité travaillent désormais main dans la main avec les organismes gouvernementaux d'application de la loi pour repérer et démanteler ces réseaux.
Voici quelques exemples de démantèlements réussis de botnets et les organisations qui ont piloté ces opérations.
Collaboration
Année du démantèlement
Trickbot
Microsoft et le Financial Services Information Sharing and Analysis Center (FS-ISAC)
2019
Mariposa
Defense Intelligence, Panda Security et le Georgia Tech Information Security Center, le FBI, INTERPOL
2009
Conficker
Microsoft et d'autres organisations (VeriSign, Symantec, Georgia Institute of Technology, etc.), partout dans le monde
2008
Gameover Zeus
TrendMicro, Dell SecureWorks, le FBI, Europol, le département de la Justice des États-Unis
2014
Les menaces émergentes et les tendances à venir
Les concepteurs et les opérateurs de botnets continuent de perfectionner la technologie et les tactiques entourant ces réseaux. Parmi les menaces émergentes figurent les botnets pilotés par l'IA, qui exploitent des algorithmes d'apprentissage automatique sophistiqués pour améliorer leurs tactiques d'évasion, accélérer leur propagation et accroître leur efficacité lors du lancement d'attaques.
Parallèlement, les attaques multiplateformes sont elles aussi en hausse. Les botnets ne visent plus seulement les ordinateurs traditionnels, mais aussi les téléphones intelligents, les objets connectés et même les plateformes infonuagiques. Ces attaques sur plusieurs fronts élargissent considérablement la portée des botnets, ce qui complique la défense de votre organisation contre ces menaces.
À mesure que ces menaces évoluent, il devient plus crucial que jamais pour les organisations d'adopter des stratégies de défense à plusieurs couches et de demeurer vigilantes face à un paysage des botnets en constante mutation. De plus, puisque les cybercriminels intègrent désormais des stratégies d'IA et d'apprentissage automatique à leurs opérations, vous devriez vous aussi commencer à explorer les façons de tirer parti de ces technologies puissantes pour appuyer vos efforts en cybersécurité.
Conclusion
De nombreuses cyberattaques de grande envergure, comme les attaques DDoS et l'hameçonnage, sont perpétrées par des botnets. Pour défendre votre organisation contre ces attaques, vous devez donc bien comprendre ce que sont les botnets. Vous devez non seulement être en mesure de répondre à la question « Qu'est-ce qu'un botnet ? », mais aussi connaître les différents types de botnets ainsi que les diverses attaques menées au moyen de ces réseaux malveillants clandestins. En maîtrisant ces aspects clés, vous pourrez déployer des contre-mesures de façon plus stratégique.
Ces contre-mesures devraient comprendre des stratégies de défense proactives capables d'étouffer un botnet dans l'œuf, même s'il emploie de nouvelles tactiques hautement évasives. Vous devriez en outre apprendre à solliciter l'aide d'organisations et de fournisseurs en cybersécurité. Un effort concerté facilitera le démantèlement de ces vastes réseaux malveillants.
Bon nombre d'attaques pilotées par botnet peuvent être déjouées grâce à des systèmes d'authentification robustes. Par exemple, un système d'authentification sans mot de passe peut rendre inefficace une attaque par bourrage d'identifiants menée par un botnet.
C'est pourquoi KZero Passwordless met au point des solutions d'authentification et de confiance de nouvelle génération pour aider les organisations à remplacer les mots de passe et à renforcer leurs processus d'authentification. Avec notre solution phare, Multi-Pass, les organisations peuvent facilement activer une MFA de calibre entreprise et résistante à l'hameçonnage pour l'ensemble de leurs utilisateurs, des connexions sécurisées sans mot de passe déployées directement sur les téléphones des employés et des clients jusqu'à la MFA sans mot de passe de calibre militaire sur des cartes à puce fonctionnant d'abord hors ligne. Réservez une démo dès aujourd'hui pour en savoir plus sur Multi-Pass et sur la façon dont KZero Passwordless peut aider votre organisation à intégrer la confiance à l'ensemble de ses activités.
John Villanueva
John Carl Villanueva est un rédacteur technique chevronné qui s'est donné pour mission de démystifier les complexités du paysage de la cybersécurité. Animé par une profonde passion pour l'autonomisation des lecteurs, il leur transmet les connaissances dont ils ont besoin pour se protéger dans notre univers numérique en pleine expansion.