Qu’est-ce qu’un botnet en cybersécurité ?

Les botnets sont des réseaux d’appareils compromis contrôlés par des cybercriminels. Ce guide explique le fonctionnement des botnets, leurs usages dans les cyberattaques et les défis qu’ils posent à la sécurité.

Découvrez les méthodes utilisées pour créer et gérer des botnets, ainsi que les stratégies de détection et de prévention. Comprendre les botnets est essentiel pour permettre aux organisations de protéger leurs réseaux et d’atténuer les risques.

Qu’est-ce qu’un botnet en cybersécurité ?

Les botnets sont des réseaux d’appareils détournés infectés par un type commun de malware et utilisés par des acteurs malveillants pour automatiser des escroqueries à grande échelle et des cyberattaques massives. Chaque appareil individuel d’un botnet est appelé un « bot » ou un « zombie », et l’acteur malveillant derrière chaque botnet est appelé un « bot-herder ».

Les appareils infectés, ou bots, peuvent inclure des ordinateurs personnels, des serveurs, des appareils mobiles et des appareils de l’Internet des objets (IoT). Aujourd’hui, la plupart des botnets comptent des millions de bots sous le contrôle d’un seul bot-herder, ce qui leur permet de mener des attaques à grande échelle à partir d’un point central unique.

Des acteurs de la menace individuels ou de petites équipes de hackers peuvent utiliser des botnets pour exécuter des attaques bien plus importantes que ce qui était auparavant possible. Avec peu de coûts et d’investissements en temps, les botnets sont à la fois largement accessibles et plus efficaces que les méthodes d’attaque traditionnelles. En ordonnant à chaque ordinateur de son botnet d’exécuter simultanément les mêmes instructions au même moment, un acteur malveillant peut lancer avec succès des attaques conçues pour faire tomber le réseau d’une cible, injecter des malwares, récolter des identifiants ou exécuter des tâches gourmandes en CPU.

Comme les botnets sont contrôlés par un attaquant distant, les propriétaires ignorent généralement que leur appareil fait partie d’un botnet. La plupart du temps, les botnets sont constitués par des acteurs malveillants qui diffusent des logiciels malveillants (malware) vers autant d’appareils exposés à Internet que possible. Lorsqu’ils sont combinés à des propriétés de type ver, certains botnets peuvent même infecter d’autres machines sur le même réseau, offrant des capacités de croissance autonome et des opportunités infinies aux acteurs de la menace.

Parfois, après avoir constitué un botnet, le bot-herder vend ou loue la capacité de contrôler son botnet à d’autres acteurs malveillants sur le dark web ou le marché noir. Dans tous les cas, les botnets sont généralement utilisés pour lancer des attaques coordonnées sur Internet sous la forme d’attaques DDoS, de campagnes massives de spam par e-mail, d’intrusions ciblées ou de compromissions financières.

Comment fonctionnent les botnets

Plutôt que de cibler des individus ou des entreprises spécifiques, les malwares de botnet sont généralement conçus pour infecter autant d’appareils que possible – plus il y a d’appareils connectés à un botnet, plus la puissance de calcul et les fonctionnalités que ces appareils fourniront pour exécuter des tâches automatisées seront importantes. Pour éviter les soupçons, les botnets n’utilisent généralement qu’une petite partie des ressources de l’appareil infecté et s’exécutent en arrière-plan.

Les bot-herders peuvent créer des botnets en envoyant des malwares à des destinataires non avertis via le partage de fichiers, les e-mails, les protocoles d’applications de réseaux sociaux ou en utilisant d’autres bots comme intermédiaires. Une fois ouverts, les fichiers malveillants infectent les appareils avec du code malveillant qui ordonne à l’ordinateur de rendre compte au bot-herder. En retour, le bot-herder dicte des commandes aux appareils infectés et peut même mettre à jour les bots pour modifier entièrement leur fonctionnalité en réponse aux contre-mesures mises en place par le système ciblé.

Les appareils peuvent également être infectés via des vulnérabilités dans le firmware, dans les sites web et dans les applications. Certains botnets utilisent du code de type ver pour infecter chaque appareil d’un réseau vulnérable à un bug logiciel spécifique. Les appareils IoT d’entreprise, qui exécutent fréquemment un firmware ancien et non corrigé, sont particulièrement sensibles à ce type de vecteur d’infection.

Lorsqu’un bot-herder a réussi à infecter un nombre suffisant de bots, l’étape suivante est la mobilisation. Le bot-herder envoie des commandes ou des mises à jour aux appareils infectés, et les bots exécutent les ordres.

Types de botnets

D’une manière générale, il existe deux types de structures que les bot-herders utilisent pour contrôler leurs botnets. Le premier est un modèle centralisé avec une communication directe entre le bot-herder et chaque appareil du botnet. Le second est un système décentralisé avec plusieurs liens entre les appareils du botnet.

Modèles centralisés client-serveur

Les botnets de première génération fonctionnent généralement selon un modèle client-serveur, ce qui signifie qu’un serveur de commande et contrôle (C&C) est utilisé pour faire fonctionner l’ensemble du botnet. Cependant, les modèles centralisés sont plus sensibles à un point de défaillance unique en raison de la simplicité de leur structure.

Le plus souvent, les canaux de communication C&C prennent la forme de botnets Internet Relay Chat (IRC) ou HTTP.

• Botnets Internet Relay Chat (IRC) : Certains des premiers botnets utilisent des serveurs et des canaux IRC préconfigurés pour contrôler les bots à distance. Ce type d’attaque nécessite généralement peu de bande passante et utilise des méthodes de communication simples pour masquer l’identité et éviter la détection.

• Botnets HTTP : Les botnets basés sur le web permettent aux bot-herders d’utiliser le protocole HTTP pour envoyer des commandes aux bots et masquer leurs activités comme du trafic web normal. Dans ce type d’attaque, les bots visitent périodiquement le serveur pour recevoir de nouvelles mises à jour et commandes.

Modèles décentralisés peer-to-peer (P2P)

Les botnets de nouvelle génération utilisent principalement des modèles peer-to-peer (P2P) qui permettent aux bots de partager des commandes et des informations entre eux et sans contact direct avec les serveurs C&C. Bien que plus difficiles à mettre en œuvre par rapport aux botnets IRC ou HTTP, les botnets P2P sont plus résilients car ils ne dépendent pas d’un serveur centralisé unique.

Dans un modèle P2P, chaque bot partage et met à jour les informations entre les appareils en agissant à la fois comme client et comme serveur.

Types d’attaques de botnet

Les botnets sont utilisés par les bot-herders pour exécuter plusieurs types d’attaques de botnet. Bien que certaines attaques soient plus courantes ou plus sophistiquées que d’autres, tous les types d’attaques de botnet représentent de graves menaces pour la cybersécurité.

Attaques de phishing

Contrairement à d’autres types d’attaques d’ingénierie sociale, le phishing repose sur le volume pur. Les attaquants envoient généralement des e-mails de phishing à autant de destinataires que possible, en espérant qu’un seul tombera dans le piège. Les attaques de phishing nécessitent peu d’efforts ou d’investissements initiaux et peuvent générer d’énormes gains pour les attaquants.

Avec la puissance des botnets derrière elles, les attaques de phishing peuvent atteindre des boîtes de réception apparemment infinies. Et comme les botnets sont à la fois répandus et automatisés, mettre fin à une campagne de phishing est très difficile.

Attaques par déni de service distribué (DDoS)

Les attaques par déni de service distribué (DDoS) sont l’un des types d’attaques les plus courants exécutés par les botnets. Lors d’une attaque DDoS, le botnet envoie un nombre écrasant de requêtes au serveur ou à l’application ciblé et provoque son arrêt. Avec des milliers ou des millions d’appareils tentant de se connecter à un seul serveur au même moment, le serveur n’est plus en mesure de faire face aux requêtes de paquets entrantes et est mis hors ligne, le rendant indisponible pour les clients légitimes.

Il existe plusieurs exemples très médiatisés d’attaques DDoS exécutées par des botnets. L’un des exemples les plus réussis est le malware Mirai, dont l’auteur « Anna Senpai » a tristement publié le code source du logiciel malveillant sur le site Hackforums.

Une fois publié, le code a été utilisé pour créer plusieurs botnets imitateurs conçus pour infecter des appareils Linux IoT, notamment des caméras de sécurité, des imprimantes, des routeurs et d’autres appareils connectés à Internet. En outre, le malware a également été utilisé pour cibler le blogueur indépendant en sécurité Brian Krebs après qu’il a révélé deux individus derrière de précédentes attaques DDoS contre Github et le fournisseur DNS Dyn.

Les attaques DDoS alimentées par des botnets posent également un problème sérieux aux utilisateurs au-delà des cibles visées. Comme la plupart des sites web sont hébergés par des fournisseurs de services Internet (ISP) externes ou des réseaux de diffusion de contenu comme Akamai, Cloudflare et Fastly, les attaques DDoS peuvent affecter plusieurs clients à la fois.

Dans le cas de l’attaque contre Brian Krebs, Akamai a été contraint d’abandonner son site web afin de protéger ses autres clients contre un déni de service.

Compromissions financières

Les botnets peuvent également être utilisés pour voler directement des fonds d’entreprises et des informations de carte de crédit. Les botnets collectent des informations financières à l’aide de diverses méthodes, notamment le keylogging ou la capture d’écran, puis renvoient les informations collectées vers le serveur distant du bot-herder. Dans certains cas, les informations financières peuvent être vendues sur le marché noir en échange de frais substantiels.

L’un des botnets de compromission financière les plus tristement célèbres, le malware GameOver Zeus, a été responsable du vol de millions de dollars directement auprès de plusieurs entreprises sur de courtes périodes via des e-mails de phishing.

Botnets de porte dérobée

Les botnets de porte dérobée s’appuient sur des appareils infectés pour infecter d’autres appareils, les ajoutant au botnet afin qu’ils soient contrôlés par le bot-herder. Comme d’autres types d’attaques de botnet, les botnets de porte dérobée commencent généralement par l’installation involontaire d’un malware par un utilisateur.

Cependant, contrairement aux autres malwares de botnet, les botnets de porte dérobée pénètrent dans les systèmes par la « porte dérobée », ce qui est plus difficile à détecter. Le botnet n’a pas nécessairement besoin qu’un utilisateur le laisse entrer, car il peut automatiquement trouver un moyen de contourner les mesures de sécurité en place.

Intrusions ciblées

Les intrusions ciblées sont généralement exécutées par des botnets plus petits conçus pour compromettre les systèmes ou réseaux spécifiques à forte valeur d’une organisation. Une fois à l’intérieur, les attaquants peuvent pénétrer et s’introduire encore plus profondément dans les systèmes d’une entreprise et accéder à ses actifs les plus précieux.

Ces types d’attaques peuvent être menés dans le cadre d’une campagne globale ou d’une série de tentatives au fil du temps pour obtenir un accès aux systèmes et réseaux d’une organisation. Les bot-herders à l’origine d’intrusions ciblées disposent généralement d’une expertise et de ressources supplémentaires pour mener des campagnes sur une longue période, en adaptant, ajustant et améliorant leurs méthodes d’attaque pour contrer les défenses de leur cible.

Attaques Remote Desktop Protocol (RDP)

Les serveurs Remote Desktop Protocol (RDP) permettent aux appareils de se connecter à d’autres appareils ou réseaux sans contact direct. Lorsque des botnets attaquent des serveurs RDP, ils peuvent facilement se propager dans les organisations, infectant chaque appareil en contact avec le réseau ou d’autres appareils.

Les attaques de botnet RDP sont devenues de plus en plus populaires avec le passage au travail à distance, et sont souvent exécutées via le credential stuffing, la force brute et les malwares.

Credential stuffing

Les attaques de credential stuffing sont conçues pour tester des bases de données ou des listes d’identifiants volés (tels que des mots de passe et des noms d’utilisateur) sur plusieurs comptes à la recherche d’une correspondance. Également connu sous le nom de « list cleaning » ou « breach replay », le credential stuffing peut être automatisé par des botnets pour tester des dizaines de millions de comptes quotidiennement.

Les sites web présentant une sécurité faible sont souvent victimes d’attaques de credential stuffing, qui peuvent généralement être évitées grâce à l’utilisation de mots de passe forts et uniques.

Comment prévenir, détecter et arrêter les botnets

Les botnets sont l’un des types de malware les plus sophistiqués existant aujourd’hui, posant d’importantes préoccupations de cybersécurité aux gouvernements, aux entreprises et aux particuliers. Avec autant de botnets sur Internet, dont beaucoup mutent continuellement en réponse à de nouvelles vulnérabilités et failles de sécurité, chaque botnet est susceptible d’être significativement différent de tous les autres.

Aussi difficile que cela soit, il existe quelques moyens de détecter et de prévenir les attaques de botnet avant qu’elles ne causent des dommages irréversibles.

1. Prévention

Empêcher les malwares de botnet d’infecter les appareils est le moyen le plus sûr de les protéger contre les attaques de botnet. Les organisations et les particuliers peuvent :

• Maintenir les logiciels à jour
• Surveiller toute activité inhabituelle sur le réseau
• Suivre les tentatives de connexion échouées
• Éviter de cliquer sur des liens suspects
• Cesser d’ouvrir des e-mails provenant d’expéditeurs inconnus ou s’ils semblent suspects de la part d’un expéditeur connu
• Créer des mots de passe sécurisés (et en créer de nouveaux si nécessaire)
• Utiliser des logiciels de cybersécurité avancés

2. Détection

Si un malware de botnet parvient à pénétrer dans un système informatique, il est important de le détecter le plus rapidement possible. Les utilisateurs peuvent rechercher :

• Une charge CPU anormalement élevée du serveur web
• Une utilisation excessive de la mémoire
• Des profils de trafic non natifs
• Des blocages réseau causés par un trafic réseau excessif

Le contrôle du pare-feu peut également être utile pour détecter les communications de botnet sur le réseau. Mais le moyen de dissuasion le plus efficace contre l’infection par botnet est une solution de sécurité robuste basée sur l’IA comportementale, capable d’empêcher l’exécution des charges utiles de malware sur l’appareil.

3. Remédiation

Malheureusement, une fois qu’un botnet parvient à entrer et commence à semer le chaos, il devient beaucoup plus difficile à gérer. À ce stade, les utilisateurs devront très probablement arrêter le réseau, changer tous les mots de passe et même réparer le système informatique.

La bonne nouvelle est qu’il existe des solutions logicielles qui rendent la remédiation beaucoup plus gérable. Disposer d’une protection EDR sur les endpoints et d’une visibilité complète sur chaque appareil du réseau d’une organisation sera le meilleur moyen à la fois de prévenir et de détecter les attaques de botnet – afin qu’elles puissent être stoppées avant même de commencer.

Arrêtez les botnets avec SentinelOne

Garantir une protection XDR pour les endpoints avec une visibilité complète sur chaque appareil du réseau est le seul moyen infaillible de protéger les particuliers, les organisations et les agences gouvernementales contre les botnets.

Seule plateforme de cybersécurité permettant aux entreprises modernes d’agir de manière autonome et en temps réel, la plateforme Singularity XDR de SentinelOne offre une meilleure visibilité sur les surfaces d’attaque dynamiques et des analyses de sécurité multiplateforme. En centralisant la sécurité des endpoints, du cloud, des identités et des données au sein d’une plateforme unique, les utilisateurs obtiennent des résultats de résolution en temps réel à la vitesse machine, avec des analyses de données multiplateformes à l’échelle de l’entreprise.

Découvrez-en plus sur l’évaluation MITRE ATT&CK record de SentinelOne avec 100 % de prévention, et demandez une démo dès aujourd’hui pour vous engager sur la voie d’une protection totale contre les botnets.

Vous aimez cet article ? Suivez-nous sur LinkedIn, Twitter, YouTube ou Facebook pour voir le contenu que nous publions.

En savoir plus sur la cybersécurité

• macOS Red Team: Usurpation d’assistants privilégiés (et d’autres) pour obtenir les privilèges root
• Approfondissement | Guide d’analyse inverse du malware Smoke Loader
• Créez votre propre ransomware (Project Root) | Derrière les lignes ennemies, partie 2
• Le secteur de l’éducation face à la menace croissante de la cybercriminalité
• Chasse YARA pour la réutilisation de code : ransomware DoppelPaymer & familles Dridex
• Élévation de privilèges | Malware macOS & le chemin vers root, partie 2
• La quête de visibilité & la chasse s’accompagnent d’un coût d’opportunité invisible
• Le bon, le mauvais et le laid en cybersécurité