L’activité des robots en ligne reste une préoccupation majeure parmi les professionnels de la sécurité des réseaux. À eux seuls, il est difficile pour des robots individuels d’infliger des dégâts à grande échelle contre une cible donnée. Mais que se passe-t-il lorsque ces robots individuels unissent leurs forces ?

C’est exactement ce qui se passe dans un botnet. Abréviation de « réseau de robots », les botnets sont des ensembles d’appareils connectés à Internet, chacun exécutant un ou plusieurs robots. Leur ampleur permet aux cybercriminels d’exécuter des attaques sophistiquées qui submergent les réseaux ciblés de trafic ou de mener d’autres activités malveillantes.

À mesure que le nombre d’appareils connectés à Internet augmente, les réseaux de zombies se multiplient également. En fait, la prévalence des attaques de robots a presque doublé tout au long de 2023, selon une étude récente. Fin mai, le ministère américain de la Justice annoncé qu’elle avait démantelé le botnet « 911 S5 », après environ huit années d’activité couvrant 19 millions d’adresses IP uniques dans 200 pays, ce qui a rapporté une récolte frauduleuse de 5,9 milliards de dollars.

Examinons de plus près les botnets, leur évolution au fil des années, la manière dont les cybercriminels les utilisent aujourd’hui et la manière dont les administrateurs peuvent protéger leurs réseaux contre cette menace croissante.

Le concept de botnets trouve ses racines au début des années 2000, avec l’apparition du « EarthLink Spammer », largement considéré comme le premier botnet. Il était principalement utilisé pour exécuter des campagnes de spam à grande échelle. Depuis, les botnets ont considérablement évolué.

Une étape majeure a été franchie en 2007, lorsque le premier botnet décentralisé est apparu, connu sous le nom de « Storm ». Contrairement à ses homologues précédents qui étaient relativement simples, Storm a exploité la communication peer-to-peer (P2P) pour contrôler son réseau d’appareils infectés plutôt qu’un seul serveur de commande et de contrôle (C2). Cela a rendu les acteurs malveillants beaucoup plus difficiles à suivre, ce qui a considérablement stimulé le marché des botnets du dark web.

Parmi les développements les plus récents dans l’évolution des botnets figure l’émergence de botnets ciblant les appareils IoT. Il s’agit notamment des caméras de sécurité, des téléviseurs intelligents, des imprimantes et des appareils connectés. Les appareils IoT, même les plus modernes, ont souvent une sécurité relativement faible, ce qui facilite leur « recrutement » dans des botnets en coulisses. Lutter contre cette menace constituera un défi majeur pour les fabricants de produits et la communauté de la cybersécurité dans les années à venir.

Les auteurs de menaces ont également commencé à utiliser l’IA et le ML pour optimiser leurs armées de « dispositifs zombies », ce qui améliore considérablement leur efficience et leur efficacité dans la conduite d’attaques.

Les botnets offrent aux cybercriminels un moyen puissant et évolutif de mener des activités malveillantes. Ils peuvent être extrêmement difficile à détecteret de nombreux systèmes ne sont pas équipés pour gérer l’ampleur et la complexité des botnets modernes.

Toutefois, avant de pouvoir causer des dégâts, les attaquants doivent d’abord infecter autant d’appareils que possible. Cela se fait par diverses méthodes, dont la plus populaire est probablement l’ingénierie sociale, qui dans ce cas consiste à inciter les individus à télécharger des logiciels malveillants de type botnet, soit par phishing, soit en les déguisant en liens de téléchargement légitimes. Ce fut le cas du 911 S5 mentionné ci-dessus, que des personnes ont involontairement installé dans le cadre de logiciels VPN apparemment légitimes.

L’autre méthode d’infection courante consiste à utiliser des logiciels obsolètes. Les appareils fonctionnant sur un ancien micrologiciel sont vulnérables aux infections par botnet. Ceci est particulièrement courant avec les appareils IoT dont l’état du micrologiciel est souvent négligé en raison du grand nombre d’entités nécessitant une configuration et une mise à jour.

Une fois que les cybercriminels disposent d’un botnet important, ils peuvent l’utiliser pour exécuter différents types d’attaques. Le vecteur d’incursion le plus largement rencontré à ce stade est le déni de service distribué (DDoS). Dans une attaque DDoSle botnet inonde les serveurs d’une cible avec une quantité de trafic écrasante, provoquant son crash ou ses mauvaises performances. Fin juillet, Microsoft Azure a été frappé par une attaque DDoS qui a entraîné des interruptions de plusieurs heures dans le monde entier.

Mais les botnets peuvent également être utilisés pour des actes criminels plus « directs », y compris des attaques liées aux mots de passe comme le credential stuffing et les attaques par force brute ou même l’exfiltration de données. Ces techniques de botnet sont plus récentes, examinons-les donc un peu plus en détail.

Le credential stuffing alimenté par un botnet utilise l’apprentissage automatique pour analyser les bases de données de mots de passe à grande échelle. Les attaquants peuvent alimenter le botnet avec ces bases de données, facilement accessibles sur le dark web, lui permettant ainsi de passer au crible des centaines de millions, voire des milliards d’entrées.

En utilisant des algorithmes ML, le botnet peut identifier les mots de passe les plus courants et les hiérarchiser lors d’attaques par force brute. Cela minimise le bruit associé aux attaques par force brute et augmente considérablement le taux de réussite.

En matière d’exfiltration de données, les botnets ont également commencé à intégrer des techniques plus avancées qui rendent le vol et l’extraction de données à la fois plus furtifs et plus efficaces. Les botnets modernes peuvent être programmés pour infiltrer les réseaux, localiser des données précieuses et les exfiltrer sans déclencher d’alertes de sécurité.

Grâce à l’intégration de l’apprentissage automatique, les botnets peuvent également être chargés de rechercher automatiquement des types de données spécifiques, tels que des numéros de carte de crédit ou des informations personnelles identifiables (PII). Pour éviter d’être détectés, les botnets divisent souvent les données volées en paquets plus petits et les transmettent lentement au fil du temps ou via des canaux cryptés.

Le succès des attaques par botnet dépend en grande partie de cyber-résilience de la cible. Même si des pirates informatiques très sophistiqués peuvent infiltrer même les systèmes les plus protégés, un cyber-raid a plus de chances de réussir contre des cibles dont les mesures de sécurité sont faibles ou obsolètes.

Cependant, pour atteindre ne serait-ce qu’un niveau élémentaire de résilience face aux botnets actuels, vous devez couvrir certains domaines.

Les botnets ont considérablement évolué au fil des années et continueront de le faire en parallèle avec d’autres technologies. Nous constatons déjà les impacts de l’intégration de l’IA et du ML dans les attaques de botnets, les rendant plus efficaces et difficiles à détecter. Pour garder une longueur d’avance sur ce fléau grandissant, les équipes de sécurité des réseaux doivent donner la priorité aux mesures qui contrecarrent de manière proactive les infections et minimisent les délais de réponse en cas de violation.