Qu’est-ce qu’un botnet ? Définition et prévention

À l’heure actuelle, la majorité des attaques est automatisée à l’aide de botnets. Mais qu’est-ce qu’un botnet ? La réponse est simple : il s’agit d’un réseau d’appareils compromis permettant aux hackers de lancer divers types d’attaques.

Dans cet article, nous étudierons la nature des botnets, les attaques dont ils sont responsables et les mesures permettant d’éviter que l’un de vos appareils ne se fasse enrôler, mais aussi que votre entreprise ne soit victime d’une attaque lancée par l’un d’entre eux.

Qu’est-ce qu’un botnet ?

Un botnet est un système composé de divers appareils connectés à Internet et compromis par un acteur malveillant. Il peut être exploité à différentes fins, notamment pour lancer les célèbres attaques par déni de service distribuées (DDoS).

Mais son intérêt ne s’arrête pas là. Par exemple, certains groupes de hackers s’en servent pour dérober des données et compromettre d’autres entreprises ou infecter de nouveaux appareils qui viennent gonfler les rangs de leurs « zombies ».

Comment fonctionnent les botnets ?

La force des botnets réside dans leurs effectifs : plus ils sont importants, plus leurs attaques peuvent être dévastatrices. Voici comment ils fonctionnent :

Étape 1 : Exploitation d’une vulnérabilité - Cette étape ne diffère en rien d’une attaque classique. Un hacker recherche sur un appareil, une station de travail ou un serveur une vulnérabilité qui lui permettra d’acquérir des droits suffisants pour y lancer ses propres attaques.

Étape 2 : Enrôlement dans le botnet - Pour que l’appareil rejoigne le botnet, le hacker doit disposer d’un moyen de contrôler à distance ses actions. Pour ce faire, il installe sur l’appareil un logiciel client qui établit une connexion avec un serveur de commande.

Étape 3 : Coordination du botnet - Les systèmes qui pilotent un botnet sont généralement appelés serveurs de commande et contrôle (C2). Le processus suivi par les clients du botnet peut être très simple (chercher une commande à une URL prédéfinie) ou plus complexe et exotique (récupérer des commandes sur un canal IRC ou dans les commentaires du compte Instagram de Britney Spears).  

Les principaux types d’attaques des botnets

Les botnets permettent de réaliser différents types d’attaques dont toute la puissance réside dans le nombre d’appareils impliqués, généralement des milliers, voire des millions.

Attaques DDoS

Les attaques par déni de service distribué (DDoS) sont les plus volontiers associées aux botnets. Elles consistent à noyer un site Web de requêtes afin de le surcharger et de le rendre inaccessible, lui ou ses services en ligne clés. Ce type d’attaque peut entraîner des répercussions financières ou réputationnelles majeures.

Spam et phishing

Les botnets peuvent aussi être utilisés pour l’exécution de campagnes de spam et de phishing automatisées, et envoyer ainsi des millions de courriels à des milliers d’organisations. Même si le taux de réussite de ces attaques ne dépasse pas 1 %, des centaines d’appareils risquent d’être touchés.

Credential Stuffing par force brute

Il s’agit d’attaques automatisées qui essaient de compromettre un compte en essayant diverses combinaisons d’identifiants. Ces combinaisons peuvent se baser sur des fuites de données ou des mots de passe fréquents. Étant donné que plusieurs appareils essaient de se connecter au compte en même temps, les méthodes de verrouillage classiques sont inopérantes.

Intrusions ciblées

Si un hacker cherche à cibler une entreprise bien précise, il peut utiliser un botnet pour la noyer de requêtes. Même si un seul appareil parvient à infiltrer le réseau, cela peut suffire à dérober des données, voire, dans le cas d’une entreprise de services financiers, directement des fonds.

Cryptominage

L’avènement des cryptomonnaies a offert de nouvelles opportunités aux hackers. Ils peuvent en effet transformer les membres de leur botnet en machines de minage et utiliser leur puissance de calcul pour miner des cryptomonnaies. Cette attaque peut sembler bénigne, mais elle ne sera pas sans conséquence sur les performances de votre réseau et de votre appareil.

Déterminer si un appareil fait partie d’un botnet et se prémunir de cette menace

Malheureusement, la détection des attaques visant à enrôler un appareil dans un botnet est très complexe. En effet, il s’agit par définition d’une action discrète, et un appareil peut n’être utilisé que plusieurs mois après avoir été compromis.

Pour autant, il existe plusieurs mesures préventives qui permettent aussi de détecter les tentatives d’enrôlement ou les attaques des botnets.

Inventaire et visibilité des actifs

 Les appareils les plus touchés sont généralement les appareils de l’IoT et autres appareils connectés ne disposant que d’une sécurité limitée et rarement considérés comme des vecteurs d’attaque potentiels. On peut par exemple citer les caméras connectées, les imprimantes, les routeurs et les Smart TV. Assurez-vous de disposer d’une visibilité totale sur tous les appareils de votre réseau pour détecter les attaques et y répondre plus facilement.

Bonnes pratiques de sécurité

Les botnets lancent souvent des attaques automatisées : des mesures de sécurité de base peuvent donc suffire à les contrecarrer. Modifiez les mots de passe par défaut de tous les appareils connectés à Internet, activez la 2FA dès que possible et mettez en place des pare-feu pour éviter les accès non autorisés aux appareils de votre réseau.

Antiphishing et filtrage des spams

Le spam et le phishing sont les deux techniques les plus fréquentes pour infecter un appareil. Il suffit de déployer des outils de filtrage et de lutte contre le phishing efficaces, ainsi que de sensibiliser vos employés pour limiter considérablement le risque.

Outils de surveillance réseau

Des outils de surveillance réseau peuvent vous aider à voir si des appareils adressent des requêtes suspectes à d’autres réseaux (ou inversement). Si vous ne reconnaissez pas l’entité associée à une connexion, votre appareil est possiblement compromis.

Protection contre les attaques DDoS

Il existe des outils et solutions permettant d’éviter les attaques DDoS et autres attaques similaires visant à surcharger votre site Web et vos serveurs. Il s’agit d’un bon investissement, en particulier pour les moments stratégiques au cours desquels vos systèmes doivent traiter un trafic important.

Inspection des appareils connectés à Internet

Nous avons tendance à donner la priorité aux appareils mobiles, stations de travail et ordinateurs portables, mais pensez aussi à vérifier la sécurité de tous les autres appareils que vous achetez ou connectez. Évitez les appareils sans protection et mettez en place des contrôles de sécurité dès le premier jour.

Désactivation d’un botnet et suppression de la connexion

Une entreprise ne peut pas démanteler des botnets à elle seule, car ils sont généralement bien trop étendus. Des organismes judiciaires et de cybersécurité entiers se consacrent à cette tâche.

Toutefois, vous pouvez tout à fait couper la connexion entre un botnet et vos appareils. Plusieurs solutions antivirus sont ainsi capables de détecter les infections par certains botnets et de déconnecter les appareils touchés. Si vous savez quels appareils sont concernés, vous pouvez également restaurer leurs paramètres d’usine pour résoudre le problème.

Des solutions existent

Les botnets peuvent faire peur, car les appareils compromis restent dans l’ombre, mais des mesures de cybersécurité de base suffisent à empêcher l’enrôlement des appareils et les attaques lancées par les botnets.

Pour en savoir plus sur les solutions qui peuvent vous protéger des botnets, consultez la solution de détection des menaces de Varonis.