Botnet (réseau d'appareils zombies)

Définition

Un botnet est un ensemble d'appareils compromis, pilotés à distance par un même opérateur, et utilisés collectivement pour envoyer du courrier indésirable, saturer des services, relayer du trafic ou tester des identifiants volés. L'appareil enrôlé n'est pas la cible de l'attaque : il en est l'instrument.

Comment ça fonctionne

L'enrôlement passe par les chemins habituels — programme piégé, défaut logiciel non corrigé, mot de passe d'usine sur un appareil connecté. Ce qui distingue ce cas est le modèle économique, dont découle tout le reste : la valeur d'un appareil enrôlé tient au nombre, pas à ce qu'il contient. Le programme est donc réglé pour ne pas se faire remarquer, et n'utilise qu'une fraction des ressources de la machine. C'est pourquoi les objets connectés — caméras, enregistreurs, box, imprimantes réseau — sont des cibles de choix : allumés en permanence, rarement mis à jour, et dépourvus d'écran pour signaler quoi que ce soit. Le seul retour visible arrive souvent de l'extérieur : un fournisseur d'accès qui signale une activité anormale, une adresse bloquée, des messages qui n'arrivent plus à destination.

Pourquoi ça marche

L'appareil enrôlé continue de fonctionner normalement, et ce n'est pas vous que l'attaque vise : il n'y a aucune raison de s'inquiéter. Les objets sans écran ne peuvent rien signaler.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Avertissement du fournisseur d'accès concernant une activité anormale sur votre ligne
• Vos courriels finissent en indésirable chez vos correspondants, ou votre adresse est rejetée
• Trafic sortant continu alors que personne n'utilise le réseau, notamment la nuit
• Adresse IP bloquée par des sites, ou vérifications anti-robot devenues systématiques
• Objet connecté qui chauffe ou répond mal alors que son usage n'a pas changé

Comment vérifier

Regardez le trafic plutôt que l'appareil : dans l'interface de votre box, la liste des appareils connectés et leur consommation à une heure où personne n'est actif est le meilleur indice accessible. Un appareil qui émet en continu la nuit mérite d'être examiné. Prenez au sérieux un signalement venu de votre fournisseur d'accès, c'est souvent l'information la plus fiable dont vous disposerez.

Les questions à se poser, dans l'ordre

1. 1

   Votre fournisseur d'accès vous signale-t-il une activité anormale sur votre ligne ?

   Si oui : Prenez-le au sérieux : ouvrez votre espace client par vous-même, puis l'interface de la box.

2. 2

   Un appareil émet-il du trafic en continu, la nuit, quand personne ne s'en sert ?

   Si oui : Remettez-le en configuration d'usine et mettez-le à jour avant de le rebrancher.

3. 3

   Cet appareil ne reçoit-il plus de mises à jour de son fabricant ?

   Si oui : Ne le rebranchez pas.

Que faire

Changez les mots de passe d'usine de tout ce qui est connecté, box comprise, et activez les mises à jour automatiques. Désactivez l'accès à distance des équipements qui n'en ont pas besoin. Retirez du réseau les appareils qui ne reçoivent plus de mises à jour de leur fabricant.

Si c'est déjà arrivé

Identifiez l'appareil concerné depuis l'interface de la box, puis remettez-le en configuration d'usine et mettez-le à jour avant de le remettre en service — pour un objet connecté sans écran, c'est généralement la seule opération disponible. Changez ensuite son mot de passe et celui de la box. Si l'appareil ne reçoit plus de mises à jour, ne le rebranchez pas. Signalez les faits sur cybermalveillance.gouv.fr.

• Checklist d'urgence : « Vous avez installé un logiciel ou laissé quelqu'un prendre la main sur votre appareil »
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Changez les mots de passe d'usine de tout ce qui est connecté, box comprise.
• Activez les mises à jour automatiques.
• Désactivez l'accès à distance des équipements qui n'en ont pas besoin.

Questions fréquentes

Est-ce que je risque quelque chose alors que je ne suis pas la cible ?

Oui, à deux titres. Le premier est concret et immédiat : votre ligne peut être bloquée, votre adresse rejetée, votre connexion dégradée. Le second est que l'accès qui a permis l'enrôlement reste ouvert et peut servir à autre chose — un appareil enrôlé est un appareil contrôlé.

Mon ordinateur semble normal, est-ce possible quand même ?

C'est le cas le plus fréquent, et c'est délibéré : un appareil qui rame se fait réparer, donc se perd. Le procédé n'a d'intérêt que par le nombre, ce qui rend la discrétion rentable.

Attaques liées

• Ver informatique
• Objet connecté compromis
• Box ou routeur compromis
• Caméra de surveillance piratée
• Cheval de Troie
• Rootkit
• Cryptojacking (minage pirate)
• Virus informatique
• Usurpation ARP
• Déni de service

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement