Qu’est-ce qui motive les attaques DDoS et pourquoi faut-il s’en soucier ?
This post is also available in:
Anglais 
Allemand 
Italien 
Portugais - du Brésil 
Espagnol
Qu’est-ce qu’une attaque DDoS ?
DDoS signifie « Distributed Denial of Service » (déni de service distribué). Ignorons pour l’instant le terme « distribué », qui se rapporte principalement à la technique, et concentrons-nous sur le déni de service. L’objectif d’une attaque DoS, comme le suggère son appellation, est de perturber ou de refuser des services aux utilisateurs légitimes. La définition de « service » est très large : elle recouvre les sites web qui fournissent des informations, les services en ligne (par exemple les sites de commerce électronique) et les services <i>backend</i> comme le traitement des paiements, la communication entre entreprises, les applications cloud, la connectivité des processus industriels ou des capteurs contrôlés à distance par Internet.
Les objectifs des attaques DoS comprennent la dégradation, la création d’un impact sur l’économie d’une entreprise, d’un organisme ou d’une nation en affectant sa productivité, en créant le chaos ou en faisant un écran de fumée pour masquer une autre attaque. En submergeant un réseau avec un trafic aléatoire, l’attaque distrait les défenseurs et donne aux attaquants l’opportunité et le temps de réaliser des activités malveillantes en parallèle, sans être détectés, car les défenseurs se concentrent sur le problème le plus urgent : l’attaque par déni de service.
Selon l’objectif visé, les attaques par déni de service peuvent être menées de différentes manières. Une attaque DoS volumétrique, par exemple, cherche à saturer les connexions au service, ou celles entre l’entreprise et le cloud, ou encore celles entre les succursales et le siège, ce qui a pour effet d’entraver toutes les communications légitimes et de stopper tout le trafic de données.
Une attaque par déni de service peut également cibler un service spécifique comme un site web, une API ou un service de nom de domaine (DNS). Dans ce dernier cas, ce sont les ressources du serveur qui sont visées. Ces attaques au niveau de la couche application ou L7 peuvent perturber complètement le service ou être plus insidieuses, comme les attaques lentes et discrètes qui consomment des ressources et ont un impact sur l’expérience utilisateur, obligeant le propriétaire du service à investir dans davantage de ressources, comme des unités centrales, de la mémoire ou de la bande passante, pour maintenir un niveau de service acceptable. Si de telles attaques restent longtemps indétectées, elles peuvent compromettre la viabilité économique d’une entreprise ou d’un service.
Autre type d’attaque par déni de service, exceptionnel mais suffisamment important pour être considéré comme une menace : les vulnérabilités logicielles ou matérielles susceptibles d’entraîner le plantage d’un processus, l’arrêt ou le redémarrage d’un appareil, par simple envoi de paquets malformés. Un seul paquet peut provoquer l’arrêt d’un processus sans raison ou de longs cycles de redémarrage, ce qui peut être très perturbant si ce n’est pas découvert à temps. Puisque l’attaque consiste en un seul paquet, trouver le coupable parmi les millions de paquets et de connexions peut s’avérer une tâche ardue. La plupart du temps, ces attaques sont découvertes en analysant les vidages sur incident des noyaux ou des processus. La plupart de ces exploits sont de courte durée car, une fois la vulnérabilité découverte, elle peut être réparée, et la mise à jour des systèmes ou des signatures réseau empêche facilement les attaques de ce type. Néanmoins, elles surviennent de temps à autre.
Pour mener une attaque par déni de service, il n’est pas nécessaire d’avoir de grandes compétences ni de connaissances spécifiques. Dans la plupart des cas, il suffit de connaître l’emplacement du service, son adresse IP par exemple, et de disposer d’une infrastructure suffisamment puissante pour lancer l’attaque. L’infrastructure d’attaque peut être constituée de serveurs cloud, mais les attaquants peuvent également exploiter un éventail de plus en plus large d’appareils connectés grand public et professionnels, tels que les caméras IP et les routeurs, en les asservissant pour mener des attaques distribuées à grande échelle. Le trafic d’attaque émanant de toutes les parties du globe et de différents appareils, nous appelons ces attaques des « attaques par déni de service distribué ».
Ce qu’une attaque DDoS n’est pas
En lisant ces lignes, vous avez probablement remarqué que les attaques par déni de service n’impliquaient pas d’infiltration des réseaux ni de violation des serveurs. Une entreprise victime d’une attaque par déni de service ne subit pas de vol de données et son infrastructure n’est pas infectée par des logiciels malveillants persistants. À l’exception des attaques DDoS servant d’écran de fumée, une fois l’attaque DDoS terminée, l’entreprise peut rétablir ses services et poursuivre ses activités. Ce n’est pas le cas des rançongiciels, à la suite desquels l’entreprise est généralement immobilisée jusqu’à ce qu’elle récupère ou restaure ses systèmes internes, et il faut parfois des jours, des semaines ou des mois pour rétablir tous les services et toutes les activités.
Par contre, les attaquants peuvent mener des attaques DDoS sans craindre de se faire prendre. Les attaquants tirant parti des appareils connectés (IoT), de l’usurpation d’identité et de la réflexion, il devient très difficile, voire impossible, d’attribuer le trafic à des acteurs spécifiques. Par conséquent, les conditions nécessaires au lancement d’une attaque DDoS sont beaucoup moins exigeantes que pour infiltrer et extraire des informations de réseaux privés.
À quel point les attaques DoS sont-elles une menace ? Quelles entreprises et quels secteurs sont particulièrement menacés ? Qui sont les acteurs à l’origine de ces délits ? Que cherchent-ils et qu’est-ce qui les motive ?
Depuis 2020, nous assistons à une recrudescence des attaques DDoS, alimentée par des campagnes DoS avec demande de rançon, qui font désormais partie intégrante du paysage des menaces DDoS. Ce phénomène s’explique également par plusieurs événements politiques et sociologiques tels que des élections, #blacklivesmatter et des luttes au sein des nations et entre elles.
Pour comprendre les menaces et évaluer les risques pour votre entreprise, vous devez comprendre les acteurs, qui ils sont et quels sont leurs objectifs, comment ils effectuent généralement leurs attaques. Les tactiques et techniques utilisées par les malfaiteurs dépendent de leur objectif et de leur niveau de compétence. L’attaquant a besoin de quelque chose qui a de la valeur pour vous et sur lequel il peut exercer un impact ; il s’agit généralement d’actifs importants et précieux ou de vulnérabilités.
Crime organisé
Les rançongiciels se sont énormément développés, et leurs opérateurs et affiliés sont de mieux en mieux organisés. Ces derniers ont fait évoluer leurs tactiques vers un modèle de triple extorsion en chiffrant les systèmes, en exfiltrant les données sensibles et en menaçant de publier ces données si une rançon n’est pas versée. Si la victime n’obtempère pas ou résiste, ils lancent alors des attaques DDoS pour la ramener à la table des négociations.
Depuis août 2020, des campagnes d’extorsion par déni de service et des campagnes DoS avec demande de rançon ont été lancées dans tous les secteurs, dans le monde entier. Lors de ces campagnes très persistantes, des acteurs agissant sous le nom de Fancy Bear, du groupe Lazarus ou du collectif Armada ont envoyé des messages électroniques menaçants à des entreprises. Ils ont menacé ces entreprises en leur disant qu’elles avaient été choisies comme cible de leur prochaine attaque DDoS, en faisant référence à certains de leurs méfaits antérieurs et en affirmant qu’ils allaient lancer très prochainement une attaque DDoS de grande envergure. Pour prouver que leurs menaces devaient être prises au sérieux, ils lançaient une petite attaque sur un actif donné de l’entreprise menacée en utilisant une fraction seulement de leur infrastructure d’attaque.
Pour échapper à l’attaque, l’entreprise devait payer une rançon de 10 à 20 bitcoins à une adresse bitcoin spécifique. À défaut de paiement avant le début de l’attaque, les frais étaient majorés de 5 ou 10 bitcoins pour chaque échéance non respectée, alors que l’attaque se poursuivait.
Entre octobre et novembre, il semble que les demandes de rançon aient décru, jusqu’à fin décembre, où nous avons commencé à recevoir de nouveaux courriers de la part de clients. Les entreprises qui avaient été ciblées précédemment et avaient reçu une demande de rançon ont reçu une deuxième lettre indiquant que les attaquants avaient été occupés par des projets plus rentables et qu’ils étaient désormais de retour. Ils mentionnaient la même adresse bitcoin et demandaient alors une rançon comprise entre 5 et 10 bitcoins. La baisse de la rançon peut s’expliquer par la hausse du cours du bitcoin, qui a bondi en décembre de plus de 100 % par rapport au début de l’année. Les pirates écrivaient alors qu’ils n’abandonneraient jamais et qu’ils reviendraient inlassablement jusqu’à ce qu’ils soient payés.
En mars 2021, nous avons commencé à oublier la dernière campagne de rançon DoS, jusqu’à ce qu’en mai, de nouvelles lettres fassent leur apparition. Cette fois-ci, un groupe, très probablement sans lien avec les acteurs des campagnes précédentes, agissait sous le nom de « Fancy Lazarus ». Ce surnom a été forgé spécifiquement pour susciter encore plus de peur chez les victimes, en combinant Fancy Bear et Lazarus Group. Fancy Bear est une APT russe, connue pour ses liens avec le gouvernement russe et la promotion des intérêts politiques du gouvernement russe. Ce groupe est présumé responsable du piratage des e-mails du Comité national démocrate dans le but d’influencer le résultat des élections présidentielles américaines de 2016, des cyberattaques contre les parlements allemand et norvégien, contre la chaîne de télévision française TV5Monde, contre la Maison Blanche, contre l’OTAN, et de la tentative d’influencer la campagne du candidat à la présidence française Emmanuel Macron.
Lazarus Group est une APT nord-coréenne considérée comme une organisation de piratage à la solde de l’État, responsable de l’attaque de 2014 contre Sony Pictures et de l’attaque de 2016 contre la banque du Bangladesh, où elle a réussi à s’emparer de 81 millions USD. Cette fois, l’acteur ou le groupe malveillant visait principalement les actifs non protégés d’entreprises de différents secteurs. Il demandait une rançon de 0,5 à 5 bitcoins pour éviter l’attaque.
Au mois de septembre 2021, des fournisseurs de services de télécommunications VoIP au Royaume-Uni et au Canada ont été victimes d’attaques DDoS. Le 1er septembre, l’opérateur britannique Voip Unlimited a révélé avoir été frappé par une attaque DDoS soutenue et de grande envergure qui, selon lui, provenait du groupe russe spécialisé dans les rançongiciels « REvil », après avoir reçu « une demande de rançon colossale ». Après 75 heures d’attaques ininterrompues, le 3 septembre, Voip Unlimited a signalé une pause dans le trafic malveillant et a confirmé quelques jours plus tard qu’elle n’avait pas constaté d’autres attaques. Parallèlement, à partir du 1er septembre également, la société Voipfone, basée à Londres, a déclaré avoir subi des interruptions de ses services vocaux, de ses appels entrants et sortants et de ses services SMS. Il a plus tard été confirmé par e-mail aux clients que les services de Voipfone avaient été « perturbés par intermittence par une attaque DDoS ». Le 16 septembre, VoIP.ms, un fournisseur canadien de services de téléphonie, a annoncé qu’il avait connaissance de problèmes empêchant ses clients d’accéder à son site web et qu’il s’efforçait de trouver une solution.
Une semaine plus tard, cette situation perdurait et était attribuée à des attaques DDoS agressives et persistantes, qui ont provoqué des perturbations des appels téléphoniques et des services. Les messages publics échangés sur Twitter entre VoIP.ms et les pirates agissant sous le pseudonyme @REvil92457183 ont fourni davantage d’informations. Les pirates à l’origine de cette attaque DDoS se sont présentés sous le nom de « REvil », mais rien ne prouve qu’il s’agissait du gang de demandeurs de rançon du même nom qui avait attaqué précédemment des entreprises de premier plan, dont le plus grand transformateur de viande au monde, JBS. Ces attaques DDoS d’extorsion n’étaient pas conformes aux tactiques, techniques et procédures (TTP) de REvil, habituellement opérateur de rançongiciels. Mais on ne peut toutefois pas exclure cette hypothèse. Ce ne serait pas la première fois qu’un groupe criminel diversifie ses activités.
Une note Pastebin depuis supprimée indiquait que la demande de rançon initiale était de 1 bitcoin, soit un peu plus de 42 000 dollars (au moment de la publication). Mais, deux jours seulement après la demande initiale, le compte Twitter @REvil92457183 a porté la rançon à 100 bitcoins, soit plus de 4,2 millions de dollars américains, en adressant le message suivant : « OK, trêve de communication… Le prix pour que nous nous arrêtions est désormais de 100 bitcoins, à verser à l’adresse BTC Pastebin. Je suis sûr que vos clients apprécieront votre absence de scrupules lors des multiples procès qui s’ensuivront. REvil ». Les pirates se sont servis de Twitter pour dévoiler les attaques et reprocher à VoIP.ms de ne pas payer, dans le but d’inciter ses clients et partenaires à faire pression sur le fournisseur de services afin qu’il paie la rançon et remédie aux interruptions de service. Les opérateurs de rançongiciels utilisent des moyens de pression similaires, par exemple en divulguant sur leurs sites RP du dark web les nouvelles victimes et les données sensibles obtenues. Les messages Twitter de VoIP.ms indiquent que les attaques visaient initialement ses services de noms de domaine. VoIP.ms a atténué ces attaques en demandant à ses partenaires et clients de coder en dur les adresses IP des services dans leurs systèmes.
Le 7 octobre, Voip Unlimited a de nouveau signalé une perte intermittente de connectivité et de services vocaux, tandis que ses ingénieurs s’efforçaient d’atténuer les attaques DDoS dirigées contre ses plateformes téléphoniques. Des problèmes ont été signalés pour la première fois dans la soirée du 7 octobre sur la page web indiquant l’état du service. Dans la soirée du 8 octobre, VoIP Unlimited rapportait toujours des perturbations dues aux attaques DDoS en cours contre ses clients.
Hacktivistes
Contrairement au crime organisé, les acteurs malveillants de cette catégorie ne sont pas motivés par les gains financiers mais principalement par des idées politiques ou idéologiques. Ils cherchent à dégrader, à détruire ou à perturber des sites web et des ressources dans le but de promouvoir un objectif politique ou un changement social. Les entreprises sont susceptibles de se retrouver dans le collimateur des hacktivistes et n’avoir aucun contrôle de la situation. De tels groupes sont généralement peu sophistiqués mais ils s’appuient sur leurs nombreux adeptes et sur les réseaux sociaux pour mener et promouvoir des campagnes d’attaque. Ils utilisent des forums privés pour diffuser des outils de déni de service et former leurs adeptes à leur utilisation. Ces outils sont souvent anciens et très simples, bien connus et accessibles au public. Cependant, entre les mains d’une foule suffisamment nombreuse, ces simples outils d’attaque deviennent des armes distribuées très efficaces. Lors des récentes campagnes d’attaque orchestrées par le groupe d’hacktivistes politiques Dragon Force Malaysia, des outils tels que Torshammer, LOIC et HOIC (« canons ioniques à orbite basse et haute »), et un outil d’attaque mobile pour Android appelé Garuda, ont été employés à l’occasion de cyberattaques contre des cibles israéliennes en juin et juillet 2021, dans le but de protester contre le renforcement des liens diplomatiques entre le gouvernement israélien et les pays à majorité musulmane d’Asie du Sud-Est.
Employés ou clients mécontents
Une autre catégorie d’attaquants, généralement moins avertis et agissant en solitaire, est constituée par les employés et les clients mécontents. Le secteur des jeux et paris est souvent la cible de clients mécontents qui agissent sous le coup de l’émotion et de la colère après avoir perdu de grosses sommes d’argent. Mais cette catégorie se retrouve également dans d’autres secteurs d’activité, notamment suite à la publication par un site web d’informations erronées, d’une livraison incorrecte ou inadéquate de biens ou de services, etc.
Les acteurs de ce groupe ayant besoin d’un accès immédiat et temporaire à un outil adéquat, ils recourent le plus souvent à des portails DDoS-as-a-Service accessibles au public, qui offrent un accès pratique et par abonnement à des botnets et des serveurs d’attaque DDoS. En quelques clics et en toute facilité, ces acteurs peuvent perturber des ressources en ligne et nuire à la réputation des entreprises.
[Sur le même thème : Rétrospective 2021 – Déni de service]
États-nations
Les États-nations, pour leur part, disposent de l’expertise et des ressources nécessaires pour élaborer de puissantes armes de destruction, tant dans le monde physique que dans le monde cybernétique. Ils peuvent utiliser des cyber-armes pour provoquer perturbations et chaos, dans le but de déstabiliser des économies ou des régimes. Les infrastructures critiques, telles que les réseaux électriques, les pipelines de carburant, les réseaux de distribution d’eau, mais aussi les institutions financières, peuvent être la cible de nations concurrentes et d’attaques à grande échelle. Parmi celles-ci, les attaques DDoS sont très efficaces car il est très difficile de les attribuer à une nation particulière. Parmi les principaux objectifs de ces acteurs : ne pas être pris sur le fait et influencer la politique étrangère d’une nation en accusant une autre nation.
Concurrents
Pour finir, je souhaite évoquer un groupe d’acteurs menaçants souvent oublié, mais dont la présence est plus importante que ce que l’on imagine : les concurrents. Le but de ce groupe est, sans surprise, d’obtenir un avantage concurrentiel en nuisant à la réputation, en volant des éléments de propriété intellectuelle ou en cassant les prix des entreprises ou des nations concurrentes. Ce groupe a recours à des outils d’attaque automatisés tels que les bots pour récupérer des informations. Certains recrutent des pirates pour perturber les services, tandis que d’autres passent au niveau supérieur et commanditent des équipes de cybercriminels pour s’infiltrer et voler des informations confidentielles et sensibles.
Suite aux attaques du botnet Mirai contre Krebs, OVH et Dyn DNS, un acteur malveillant du nom de « BestBuy » a été repéré et arrêté alors qu’il tentait d’asservir 900 000 modems Internet grand public de Deutsche Telecom. BestBuy, Daniel Kaye dans la vie réelle, possédait à cette époque un réseau de 400 000 bots basés sur Mirai. Il a démarré son projet après avoir été engagé par le PDG de Cellcom Liberia pour détruire la réputation de Lonestar MTN, le principal concurrent de Cellcom au Liberia. Daniel Kaye a lancé ses attaques en utilisant le <i>stresser</i> le plus réputé de l’époque : vDoS. Celui-ci ne lui fournissait cependant pas la puissance nécessaire pour perturber une grande entreprise de téléphonie mobile comme Lonestar. Puisque le code source du botnet Mirai avait été publié peu avant, il a repris ce code et a construit sur cette base son propre botnet. En novembre 2016, dans sa tentative de perturber les services de Lonestar MTN, le hacker-à-louer Daniel Kaye a perturbé la connectivité Internet de tout le Liberia. Il a été appréhendé en janvier 2019 à l’aéroport de Luton, à Londres, alors qu’il rentrait chez lui à Chypre après avoir rencontré son contact chez Cellcom.
Quels outils et techniques les malfaiteurs préfèrent-ils utiliser pour mener des attaques DoS ?
Les acteurs malveillants les moins avertis se tournent vers les portails DDoS-as-a-Service. Ces portails sont très répandus sur le Net et il est possible de les trouver par une simple recherche Google. Les plateformes DDoS-as-a-Service, également appelées « booters » ou « stressers », ont une puissance d’attaque suffisante pour avoir un impact sur la plupart des entreprises et administrations.
Pour les malfaiteurs dont les ambitions sont plus vastes, comme les organisations criminelles ou les hackers-à-louer, les services de <i>stresser</i> n’offrent généralement pas l’envergure, la flexibilité ni le retour sur investissement nécessaires. Ils recourent plus volontiers à leurs propres outils d’attaque, à savoir des botnets (réseaux de bots) et des infrastructures d’attaque. Les botnets sont typiquement utilisés pour générer des attaques à haut débit de paquets ou de requêtes, qui épuisent les ressources des équipements ou serveurs du réseau. Des serveurs d’attaque sont couramment utilisés pour mener des attaques par réflexion et par amplification. Ces serveurs recherchent les services Internet susceptibles de faciliter les attaques par amplification, tels que DNS, NTP, SSDP et Memcached, entre autres. Dès que les listes de serveurs d’amplification sont établies, le serveur d’attaque les utilise pour des attaques DoS volumétriques par saturation de la liaison montante. Soyez vigilants, l’Internet regorge de possibilités d’amplification. Les points de réflexion ne sont pas forcément de gros serveurs. Nous avons constaté de nombreuses attaques qui exploitaient des marques de routeurs bien connues dont les services DNS permettaient la récursion par défaut. En 2021, des chercheurs universitaires ont publié un article expliquant en détail les nouveaux moyens d’exploiter des paquets TCP falsifiés pour générer des attaques DDoS dévastatrices avec des facteurs d’amplification allant de 50 000 à 100 000 000.
Comment pouvez-vous vous protéger ? Quel est le mécanisme de défense le plus efficace ?
D’après notre expérience, une solution cloud est le moyen le plus efficace de bloquer toutes les attaques, même les attaques volumétriques dépassant la capacité des liens internet du site protégé. La solution idéale pour les entreprises qui recherchent la latence la plus faible possible et la meilleure protection est une solution DDoS hybride. Cette option alliant détection et prévention sur site permet de rediriger automatiquement le trafic vers un centre de nettoyage cloud lorsque les volumes d’attaques menacent de saturer les liens Internet.
L’avenir de l’environnement des menaces DDoS
Alors que la bande passante des interconnexions, des clouds et des connexions Internet ne cessent de croître, les attaques deviennent plus importantes et plus percutantes. Nos activités professionnelles et nos vies privées (domotique, streaming en ligne, voitures connectées) sont de plus en plus dépendantes de la connectivité Internet. Durant la pandémie, la numérisation s’est accélérée, ce qui signifie que les possibilités de frapper des entreprises et des personnes avec des attaques de type DoS sont plus nombreuses. À l’aune du succès des dernières campagnes de rançongiciels, une augmentation des tentatives d’attaques DoS avec demande de rançon est fort probable dans un avenir proche.
Au vu de la croissance constante du nombre d’événements malveillants bloqués par client, il semble que les attaques DDoS ne sont pas sur le point de disparaître. Suite à toutes les failles divulguées au cours des deux dernières années, la possibilité de créer de vastes botnets et de profiter de services d’amplification plus puissants ne cesse de croître. Alors que les entreprises et les particuliers embrassent la numérisation en migrant leurs applications vers le cloud, créant ainsi des dépendances étroites entre les applications en ligne et les applications mobiles, alors que nous dépendons de plus en plus des services et des API web fournis par des tiers, et alors que les voitures connectées, les maisons connectées, la consommation de vidéos en ligne se développent à grande vitesse, nous sommes de plus en plus tributaires du cloud et de la connectivité, ce qui nous rend plus vulnérables et crée davantage de possibilités d’abus pour les malfaiteurs.
À l’aune du succès des dernières campagnes de rançongiciels, une augmentation des tentatives d’attaques DoS avec demande de rançon est fort probable dans un avenir proche. Dans mon équipe de chercheurs, nous sommes tous convaincus que l’avenir réserve de plus en plus d’opportunités et d’attaques par déni de service. C’est pourquoi nous scrutons de très près les mouvements, les tactiques et les techniques des acteurs malveillants dans l’environnement des menaces DDoS. Nous rapportons et partageons nos observations et nous nous efforçons d’aider les entreprises à se protéger de manière opportune et adéquate afin que les malfaiteurs n’aient que peu ou pas d’impact avec leurs attaques. Comme pour la plupart des menaces de sécurité, si l’on parvient à supprimer la dimension économique de la menace, les attaques et les attaquants disparaîtront peu à peu. Mais nous nous trouvons dans un cycle sans fin où chacune de nos victoires est suivie de nouveaux défis, alors que la technologie évolue et que la numérisation du monde se poursuit.
Apprenez-en davantage sur les cybercriminels et leurs tactiques et techniques dans le Hacker’s Almanac 2021 de Radware – L’évolution de la cybercriminalité.
