Discussion :

[Stéphane le calme]

Le FBI met fin aux activités de 15 sites populaires fournissant des attaques DDoS à la demande,
l'un d'eux a servi pour attaquer plus de 200 000 cibles

Le FBI a saisi les domaines de 15 sites Web populaires qui fournissaient des attaques DDoS à la demande. Ce résultat a été le fruit d’une collaboration entre les forces de l'ordre et de plusieurs entreprises de haute technologie.

Plusieurs mandats de saisie décernés par un juge fédéral californien sont entrés en vigueur jeudi « dans le cadre d'une action coordonnée des forces de l'ordre visant à lutter contre les services illégaux de location de DDoS ». Ces mandats ont été accordées en vertu de lois fédérales sur les saisies.

Jeudi matin, un avis de saisie portant les sceaux du ministère de la Justice américain, du FBI et d'autres organismes chargés de l'application de la loi, est apparu sur les sites de booters, notamment:

• anonsecurityteam[.]com
• booter[.]ninja
• bullstresser[.]net
• critical-boot[.]com
• defcon[.]pro
• defianceprotocol[.]com
• downthem[.]org
• layer7-stresser[.]xyz
• netstress[.]org
• quantumstress[.]net
• ragebooter[.]com
• request[.]rip
• str3ssed[.]me
• torsecurityteam[.]org
• vbooter[.]org

Les procureurs ont accusé trois hommes, Matthew Gatrel et Juan Martinez, en Californie, et David Bukoski, en Alaska, d’avoir exploité ces sites, selon des déclarations sous serment déposées devant trois tribunaux fédéraux américains, qui ont été descellées jeudi.

« Les services de locations de DDoS comme ceux-ci constituent une menace nationale majeure », a déclaré l'avocat américain Bryan Schroder dans un communiqué. « Des enquêtes et poursuites coordonnées telles que celles-ci démontrent l’importance de la collaboration et de la coordination entre les districts et des partenaires du secteur public ».

Le FBI a bénéficié de l’aide de la National Crime Agency du Royaume-Uni et de la police nationale néerlandaise, et le ministère de la Justice a chargé plusieurs sociétés, notamment Cloudflare, Flashpoint et Google, d’apporter une aide supplémentaire aux autorités.

Certains des sites nommés dans les actes d'accusation ont signalé des attaques dépassant les 40 gigabits par seconde, des attaques qui ont été suffisamment importantes pour paralyser certains sites Web pendant un certain temps.

Selon la plainte du gouvernement, le service Booter Downthem a aidé quelque 2 000 clients à lancer des attaques numériques sur plus de 200 000 cibles, notamment de nombreux sites Web gouvernementaux, bancaires, universitaires ainsi que des sites de jeux.

Les procureurs affirment qu'en plus de gérer et de commercialiser Downthem, les accusés Matthew Gatrel de St. Charles, dans l'Illinois, et Juan Martinez, de Pasadena, en Californie, ont vendu d'énormes listes d'adresses Internet constamment mises à jour et reliées à des appareils susceptibles d'être utilisés par d'autres services booter afin de rendre les attaques beaucoup plus puissantes et efficaces.

Qu'est-ce qu'un IP Stresser ?

Un IP Stresser est un outil conçu pour tester la robustesse d’un réseau ou d’un serveur. L'administrateur peut exécuter un test de contrainte afin de déterminer si les ressources existantes (bande passante, CPU, etc.) sont suffisantes pour gérer une charge supplémentaire.

Tester son propre réseau ou serveur est une utilisation légitime d’un agent stressant. L'exécuter sur le réseau ou le serveur d'une autre personne, entraînant un déni de service de leurs utilisateurs légitimes, est illégal dans la plupart des pays.

Qu’en est-il des services booter ?

Les booters, également appelés services booters, sont des services d'attaque à la demande par DDoS offerts par des criminels dans le but de porter préjudice à des sites Web et des réseaux. En d'autres termes, les booters sont une utilisation illégitime des IP Stresser.

Cette utilisation se fait souvent en masquant l'identité du serveur attaquant par l'utilisation de serveurs proxy. Le proxy redirige la connexion de l’attaquant tout en masquant l’adresse IP de l’attaquant.

Les booters sont présentés sous forme de SaaS (Software-as-a-Service), souvent avec une assistance par courrier électronique et des tutoriels YouTube. Les packages peuvent offrir un service ponctuel, plusieurs attaques dans une période définie, voire un accès « à vie ». Les options de paiement peuvent inclure des cartes de crédit, Skrill, PayPal ou Bitcoin (bien que PayPal annule les comptes si une intention malveillante peut être prouvée).

Les booters accessibles même aux novices

Les sites de booter sont dangereux car ils aident à réduire les barrières à la cybercriminalité, permettant même aux novices de lancer des attaques sophistiquées et paralysantes d'un simple clic.

Cameron Schroeder, avocat adjoint américain du district central de Californie, a qualifié l'action de cette semaine de la plus grande saisie simultanée de domaines de services de booter jamais réalisée.

« C’est la plus grande action que les forces de l’ordre américaine aient prise contre les services de booter, et nous le faisons en coopération avec un grand nombre de partenaires de l’industrie et de forces étrangères de l’ordre », a déclaré Schroeder.

Les saisies de jeudi constituent les dernières en date d’une série de mesures des forces de l’ordre visant les services booter. Plus tôt cette année, les autorités américaines et européennes ont arrêté Webstresser.org qui, selon les procureurs, avait aidé à lancer plus de six millions d’attaques.

Source : ministère américain de la Justice

Voir aussi :

Le volume d'attaques DDoS a plus que doublé en Europe au troisième trimestre, d'après un rapport
La France a été la troisième région source d'attaques DDoS au 2T18 d'après un rapport, qui souligne le rôle joué par les appareils IdO non sécurisés
Neutralité du Net : le système de commentaires de la FCC a-t-il été victime de DDoS, ou est-ce une ruse pour ne pas recevoir les avis des Américains ?
Webstresser, la plus grande plateforme de prestation d'attaques DDoS, a été fermée suite à une opération de police conduite en international
Une attaque DDoS memcached établit un nouveau record avec une amplitude de 1,7 Tbps, quelques jours seulement après l'attaque contre GitHub

[Stan Adkens]

La taille des attaques DDoS réduite de 85 % après la fermeture par le FBI de 15 sites Web fournisseurs de ces attaques à la demande
Selon un rapport

La taille des attaques DDoS (déni de service distribué) moyennes a diminué de 85 % grâce à la répression qu’a menée, en décembre dernier, le Bureau fédéral des Investigations contre des sites Web DDoS de vente de services d’attaque sur Internet. C'est ce qu'a indiqué le rapport des menaces du quatrième trimestre publié la semaine dernière par Nexusguard, une société de cybersécurité qui atténue les attaques DDoS. La répression du FBI avait été annoncée le 20 décembre 2018 et a entraîné la fermeture de 15 des plus importants sites Web DDoS de location à l’échelle mondiale, ce qui a eu pour conséquence la diminution de la taille de ces types d’attaques informatiques.

Dans son rapport trimestriel, Nexusguard montre que la fermeture des 15 sites Web qui vendraient des services d'attaque Internet à large bande passante sous le couvert de « stress testing » a, non seulement, réduit la taille des attaques DDoS moyennes de 85 %, mais également, la taille des grandes attaques a diminué de 24 %. Le nombre total d'attaques dans le monde entier a également été affecté par la répression du FBI. Le nombre total d'attaques DDoS à l’échelle mondiale a diminué de près de 11 % par rapport à la même période l'an dernier.

En décembre 2018, le FBI a saisi les domaines de 15 sites Web populaires qui fournissaient des attaques DDoS à la demande – les booters. Cet exploit a été rendu possible grâce à la collaboration entre les forces de l'ordre et de plusieurs entreprises de haute technologie. Plusieurs mandats de saisie décernés par un juge fédéral californien et accordés en vertu des lois fédérales sur les saisies sont entrés en vigueur « dans le cadre d'une action coordonnée des forces de l'ordre visant à lutter contre les services illégaux de location de DDoS ». Le FBI a également bénéficié de l’aide de la National Crime Agency du Royaume-Uni et de la police nationale néerlandaise, et le ministère de la Justice a chargé plusieurs sociétés, notamment Cloudflare, Flashpoint et Google, d’apporter une aide supplémentaire aux autorités.

Les booters, également appelés services booters, sont des services d'attaque à la demande par DDoS offerts par des criminels dans le but de porter préjudice à des sites Web et des réseaux. En d'autres termes, les booters sont une utilisation illégitime des IP Stresser. Un IP Stresser est un outil conçu pour tester la robustesse d’un réseau ou d’un serveur, destiné par exemple à un administrateur réseau qui l’utilise pour exécuter un test de contrainte afin de déterminer si les ressources existantes (bande passante, CPU, etc.) sont suffisantes pour gérer une charge supplémentaire.

Les booters se chargent de diriger un grand volume de trafics Internet vers un service particulier qui n’est pas fait pour supporter de tels trafics, de sorte à le mettre hors ligne pendant un certain temps. anonsecurityteam[.]com, booter[.]ninja, bullstresser[.]net, critical-boot[.]com, defcon[.]pro sont des exemples de domaines DDoS qui ont été mis hors d’état de nuire par le FBI en décembre. Le « Lizard Stresser » est l’un de ces sites Web qui vendent des services d’attaque DDoS. Le Lizard Stresser est un service criminel produit par Lizard Squad, un groupe de pirates informatiques mieux connu pour l'attaque du jour de Noël 2014 sur le Xbox Live et PlayStation Network.

Selon le rapport de l’étude trimestriel qui mesure des milliers d'attaques DDoS dans le monde entier, ces services d'attaque exploitent des vulnérabilités découvertes dans les dispositifs Internet, comme les caméras vidéo connectées, les routeurs sans fil, les produits intelligents et même les services cloud, en utilisant des bots pour générer un trafic Internet inutile qui dépasse le trafic légitime vers un site ou un service Internet.

Selon le rapport de Nexusguard, les 15 services démantelés par le FBI représentaient 11 % de toutes les attaques dans le monde, ce qui montre que la répression du FBI a été efficace. Ces pirates informatiques auraient également généré plus de 200 000 attaques DDoS depuis 2014, d’après le rapport. Toutefois, malgré la répression effectuée par les forces de l'ordre fédérales sur ces sites en décembre 2018, les chercheurs de Nexusguard avertissent les organisations qu'elles doivent rester vigilantes, car d'autres services de booter pourraient prendre leur place et le volume des attaques va augmenter à nouveau.

« La saisie des serveurs de commande et de contrôle, des booters et d'autres ressources a joué un rôle important dans la lutte du FBI contre la cybercriminalité », a déclaré Juniman Kasman, directeur de la technologie chez Nexusguard. « Mais cet arrêt ne fait qu'effleurer la surface d'un problème global. », a-t-il ajouté.

Le rapport de Nexusguard a également averti qu'il ne s'agit probablement que d'un sursis temporaire. La prolifération des réseaux de bots, les nouvelles vulnérabilités et le nombre sans cesse croissant de dispositifs intelligents et de nœuds Internet des objets continuent d'accroître les capacités d'attaque potentielles utilisées par ces services.

« Bien que les booters soient des cibles visibles, les entreprises doivent également gérer les vulnérabilités qui découlent du matériel et des logiciels non corrigés, des erreurs humaines et des nouvelles méthodes d'attaque, en particulier à mesure que l'empreinte de l'Internet des objets s'étend », a déclaré Kasman.

Selon le rapport, plus de 90 % des attaques DDoS ont une taille inférieure à un Gbps. Les attaques « bit-and-piece » se seraient poursuivies depuis le dernier trimestre jusqu'au quatrième trimestre et auraient été utilisées dans de nombreuses campagnes, quel que soit le vecteur utilisé. Nexusguard a indiqué également que la durée des attaques a augmenté de plus de 175 %, passant à plus de 450 minutes en moyenne par rapport à l'année dernière. Selon le rapport, les attaques au cours du trimestre se sont régulièrement produites pendant les heures de pointe afin de perturber au maximum le service.

Le rapport d’une étude intitulée « Le facteur de confiance » de la société de cybersécurité Radware, indiquait en janvier dernier que le coût moyen d'une cyberattaque avait dépassé 1 million de dollars en 2018 et que les incidents de sécurité des données menaçaient la productivité des entreprises, l’expérience client et la confiance des consommateurs dans les marques des entreprises.

Le rapport de Nexusguard a relevé que les attaques HTTPS (Hypertext Transfer Protocol Secure) se sont classées au troisième rang selon la popularité des attaques, comparativement aux attaques UDP (User Datagram Protocol) et SSDP (Simple Service Discovery Protocol).

Un schéma inhabituel d'attaques HTTPS fréquemment répétées a été observé contre un client, se produisant presque tous les jours en décembre et jusqu'à 13 fois en une journée, démontrant l'engagement de l'attaquant à perturber le réseau de la cible pendant tout le mois de décembre, la période la plus chargée de l'année pour les commerces de détail et de divertissement, d’après le rapport.

Le rapport indique aussi que 23 % des attaques DDoS sortantes ont été conduites par la Chine, première du classement, les États-Unis arrivant en deuxième position avec 18 % des attaques DDoS sortantes.

Source : The Nexusguard 4Q18 Threat Report

Et vous ?

Que pensez-vous du rapport de Nexusguard ?

Lire aussi

Le coût moyen d'une cyberattaque a dépassé 1 million de dollars, le principal impact étant la perte de productivité, selon un rapport
Deux tiers des attaques DDoS ciblent des fournisseurs de services de communication, la France est le 5e foyer des attaques DDoS
Une attaque DDoS memcached établit un nouveau record avec une amplitude de 1,7 Tbps, quelques jours seulement après l'attaque contre GitHub
Une vulnérabilité WinRAR vieille de 19 ans mène à plus de 100 exploits de malwares, mais elle a été corrigée dans la dernière version
Attaques DDoS : un business extrêmement rentable pour les hackers, d'après une enquête de la firme de sécurité Kaspersky