Qu’est-ce qu’un botnet et votre ordinateur en fait-il partie?

L’un de mes termes de cybersécurité préférés est «botnet». Il évoque toutes sortes d’images: des robots interconnectés, des légions de travailleurs en réseau alimentant simultanément un seul objectif. Curieusement, l’image que le mot évoque est similaire à ce qu’est un botnet – en termes de rond-point, au moins.

Les botnets représentent une grande quantité de puissance de calcul dans le monde. Et cette puissance est régulièrement (peut-être même de manière constante) la source de logiciels malveillants, de ransomwares, de spams, etc. Mais comment les botnets existent-ils? Qui les contrôle? Et comment pouvons-nous les arrêter?

Qu’est-ce qu’un Botnet?

La définition du botnet SearchSecurity États «un botnet est un ensemble d’appareils connectés à Internet, qui peuvent inclure des PC, des serveurs, des appareils mobiles et des appareils Internet des objets qui sont infectés et contrôlés par un type courant de malware. Les utilisateurs ignorent souvent qu’un botnet infecte leur système. »

La dernière phrase de la définition est la clé. Les appareils d’un réseau de zombies ne sont généralement pas là volontairement. Les appareils infectés par certaines variantes de logiciels malveillants sont contrôlés par des acteurs de menaces à distance, appelés cybercriminels. Le malware cache les activités malveillantes du botnet sur l’appareil, rendant le propriétaire inconscient de son rôle dans le réseau. Vous pourriez envoyer du spam offrant des milliers de comprimés agrandissant les appendices – sans aucune idée.

En tant que tels, nous appelons souvent les périphériques de botnet infectés des «zombies».

Que fait un Botnet?

Un botnet a plusieurs fonctions communes selon le souhait de l’opérateur du botnet:

1. Spam: Envoi de vastes volumes de spam dans le monde entier. Par exemple, le part moyenne de spam entre janvier et septembre, le trafic e-mail mondial était de 56,69%. Lorsque la firme de recherche en sécurité FireEye a temporairement interrompu la transition du tristement célèbre réseau de zombies srizbi après que le tristement célèbre hébergement McColo a été mis hors ligne, le spam mondial a chuté de façon considérable (et en fait, quand il s’est finalement déconnecté, le spam mondial a temporairement chuté d’environ 50%).
2. Malware: Fournir des logiciels malveillants et des logiciels espions aux machines vulnérables. Les ressources des botnets sont achetées et vendues par des malfaiteurs pour faire avancer leurs entreprises criminelles.
3. Les données: Capture de mots de passe et autres informations privées. Cela est lié à ce qui précède.
4. Cliquez sur la fraude: Un appareil infecté visite des sites Web pour générer du faux trafic Web et des impressions publicitaires.
5. Bitcoin: Les contrôleurs de Botnet dirigent les appareils infectés vers le Bitcoin et d’autres crypto-monnaies pour générer des bénéfices en silence.
6. DDoS: Les opérateurs de botnet dirigent la puissance des appareils infectés vers des cibles spécifiques, les mettant hors ligne dans des attaques par déni de service distribué.

Les opérateurs de botnet utilisent généralement leurs réseaux pour un certain nombre de ces fonctions afin de générer des bénéfices. Par exemple, les opérateurs de réseaux de zombies qui envoient du spam médical à des citoyens américains sont également propriétaires des pharmacies de contrefaçon qui livrent les marchandises. (Oh oui, il y a des produits réels à la fin de l’e-mail. Brian Krebs’s Spam Nation est un excellent regard là-dessus.)

Les principaux réseaux de zombies ont légèrement changé de direction ces dernières années. Alors que le spam médical et d’autres types similaires de spam étaient pendant longtemps extrêmement rentables, les mesures de répression prises par le gouvernement dans plusieurs pays ont érodé les bénéfices. En tant que tel, le nombre d’e-mails contenant une pièce jointe malveillante est passé à un sur 359 e-mails, selon Rapport d’intelligence de Symantec de juillet 2017.

À quoi ressemble un Botnet?

Nous savons qu’un botnet est un réseau d’ordinateurs infectés. Cependant, les composants principaux et l’architecture réelle du botnet sont intéressants à considérer.

Architecture

Il existe deux principales architectures de botnet:

• Modèle client-serveur: Un botnet client-serveur utilise généralement un client de chat (anciennement IRC, mais les botnets modernes ont utilisé Telegram et d’autres services de messagerie cryptés), un domaine ou un site Web pour communiquer avec le réseau. L’opérateur envoie un message au serveur, le relayant aux clients, qui exécutent la commande. Bien que l’infrastructure du botnet diffère de la base au très complexe, un effort concentré peut désactiver un botnet client-serveur.
• D’égal à égal: Un botnet peer-to-peer (P2P) tente d’arrêter les programmes de sécurité et les chercheurs identifiant des serveurs C2 spécifiques en créant un réseau décentralisé. À certains égards, un réseau P2P est plus avancé qu’un modèle client-serveur. En outre, leur architecture diffère de la façon dont la plupart envisagent. Au lieu d’un seul réseau d’appareils infectés interconnectés communiquant via des adresses IP, les opérateurs préfèrent utiliser des appareils zombies connectés à des nœuds, à leur tour, connectés les uns aux autres et au serveur de communication principal. L’idée est qu’il y a tout simplement trop de nœuds interconnectés mais séparés pour être supprimés simultanément.

Commander et contrôler

Les protocoles de commandement et de contrôle (parfois écrits C&C ou C2) se présentent sous différentes formes:

• Telnet: Les botnets Telnet sont relativement simples, utilisant un script pour analyser les plages IP pour les connexions par défaut telnet et SSH pour ajouter des périphériques vulnérables pour ajouter des bots.
• IRC: Les réseaux IRC offrent une méthode de communication à très faible bande passante pour le protocole C2. La possibilité de changer rapidement de canal offre une sécurité supplémentaire aux opérateurs de botnet, mais signifie également que les clients infectés sont facilement coupés du botnet s’ils ne reçoivent pas d’informations de canal mises à jour. Le trafic IRC est relativement facile à examiner et à isoler, ce qui signifie que de nombreux opérateurs se sont éloignés de cette méthode.
• Domaines: Certains grands réseaux de zombies utilisent des domaines plutôt qu’un client de messagerie pour le contrôle. Les appareils infectés accèdent à un domaine spécifique servant une liste de commandes de contrôle, permettant facilement des modifications et des mises à jour à la volée. L’inconvénient est l’énorme besoin de bande passante pour les grands réseaux de zombies, ainsi que la relative facilité avec laquelle les domaines de contrôle suspectés sont fermés. Certains opérateurs utilisent un hébergement dit à l’épreuve des balles pour opérer en dehors de la juridiction des pays dotés d’une loi pénale Internet stricte.
• P2P: Un protocole P2P implémente généralement la signature numérique à l’aide d’un chiffrement asymétrique (une clé publique et une clé privée). Cela signifie que si l’opérateur détient la clé privée, il est extrêmement difficile (essentiellement impossible) pour quiconque d’émettre des commandes différentes sur le botnet. De même, l’absence d’un seul serveur C2 défini rend l’attaque et la destruction d’un botnet P2P plus difficiles que ses homologues.
• Autres: Au fil des ans, nous avons vu des opérateurs de botnet utiliser des canaux de commande et de contrôle intéressants. Ceux qui viennent immédiatement à l’esprit sont les canaux de médias sociaux, tels que le botnet Android Twitoor, contrôlé via Twitter, ou le Mac.Backdoor.iWorm qui a exploité le sous-programme de la liste des serveurs Minecraft pour récupérer les adresses IP de son réseau. Instagram n’est pas sûr non plus. En 2017, Turla, un groupe de cyberespionnage ayant des liens étroits avec les services de renseignement russes, utilisait des commentaires sur les photos Instagram de Britney Spears pour stocker l’emplacement d’un serveur C2 de distribution de logiciels malveillants.

Des morts-vivants

La dernière pièce du puzzle du botnet est les appareils infectés (c’est-à-dire les zombies).

Les opérateurs de botnet recherchent et infectent délibérément les appareils vulnérables pour augmenter leur puissance de fonctionnement. Nous avons énuméré les principales utilisations du botnet ci-dessus. Toutes ces fonctions nécessitent une puissance de calcul. De plus, les opérateurs de réseaux de zombies ne sont pas toujours amicaux les uns avec les autres, tournant l’un contre l’autre la puissance de leurs machines infectées.

La grande majorité des propriétaires d’appareils zombies ignorent leur rôle dans le botnet. Parfois, cependant, les logiciels malveillants botnet agissent comme un conduit pour d’autres variantes de logiciels malveillants.

Cette vidéo ESET donne une belle explication sur la façon dont les botnets se développent:

Types d’appareils

Les appareils en réseau arrivent en ligne à un rythme effarant. Et les botnets ne sont pas seulement à la recherche d’un PC ou d’un Mac. Comme vous en lirez plus dans la section suivante, les appareils Internet of Things sont tout aussi susceptibles (sinon plus) aux variantes de logiciels malveillants de botnet. Surtout s’ils sont recherchés en raison de leur sécurité épouvantable.

Si je dis à mes parents de retourner leur tout nouveau téléviseur intelligent qu’ils ont mis en vente parce que l’IOT est extrêmement précaire, cela fait-il de moi une bonne fille ou une mauvaise fille?
J’ai demandé s’il pouvait écouter les commandes vocales, ils ont répondu oui; J’ai fait un crépitement. Ils ont dit que nous parlerons demain.

– Tanya Janca (@shehackspurple) 28 décembre 2017

Les smartphones et les tablettes ne sont pas sécurisés non plus. Android a vu plusieurs botnets au cours des dernières années. Android est une cible facile: il est open source, dispose de plusieurs versions de système d’exploitation et de nombreuses vulnérabilités à la fois. Ne vous réjouissez pas si vite, utilisateurs iOS. Il y a eu quelques variantes de logiciels malveillants ciblant les appareils mobiles Apple, bien que généralement limités aux iPhones jailbreakés avec des failles de sécurité.

Un autre routeur cible est un routeur vulnérable. Les routeurs exécutant des micrologiciels anciens et non sécurisés sont des cibles faciles pour les botnets, et de nombreux propriétaires ne se rendront pas compte que leur portail Internet est porteur d’une infection. De même, une quantité tout simplement stupéfiante d’internautes ne parvient pas à modifier les paramètres par défaut de leurs routeurs après l’installation. Comme les appareils IoT, cela permet aux logiciels malveillants de se propager à un rythme stupéfiant, avec peu de résistance rencontrée lors de l’infection de milliers d’appareils.

Abattre un botnet

Supprimer un botnet n’est pas une tâche facile, pour plusieurs raisons. Parfois, l’architecture de botnet permet à un opérateur de reconstruire rapidement. À d’autres moments, le botnet est tout simplement trop grand pour être retiré d’un seul coup. La majorité des suppressions de réseaux de zombies nécessitent une coordination entre les chercheurs en sécurité, les agences gouvernementales et d’autres pirates, en s’appuyant parfois sur des conseils ou des portes dérobées inattendues.

Un problème majeur auquel sont confrontés les chercheurs en sécurité est la relative facilité avec laquelle les opérateurs copycat démarrent leurs opérations en utilisant le même malware.

GameOver Zeus

Je vais utiliser le botnet GameOver Zeus (GOZ) comme exemple de retrait. GOZ était l’un des plus gros botnets récents, censé avoir plus d’un million d’appareils infectés à son apogée. L’utilisation principale du botnet était le vol monétaire (distribution du ransomware CryptoLocker) et le courrier indésirable et, à l’aide d’un algorithme de génération de domaine point à point sophistiqué, semblait impossible à arrêter.

Un algorithme de génération de domaine permet au botnet de pré-générer de longues listes de domaines à utiliser comme «points de rendez-vous» pour le malware botnet. Les points de rendez-vous multiples rendent l’arrêt de la propagation presque impossible, car seuls les opérateurs connaissent la liste des domaines.

En 2014, une équipe de chercheurs en sécurité, en collaboration avec le FBI et d’autres agences internationales, a finalement mis GameOver Zeus hors ligne, dans le cadre de l’opération Tovar. Ça n’a pas été facile. Après avoir remarqué les séquences d’enregistrement de domaine, l’équipe a enregistré quelque 150 000 domaines au cours des six mois précédant le début de l’opération. Cela devait empêcher tout futur enregistrement de domaine des opérateurs de botnet.

Ensuite, plusieurs FAI ont donné le contrôle du fonctionnement des nœuds proxy de GOZ, utilisés par les opérateurs de botnet pour communiquer entre les serveurs de commande et de contrôle et le botnet réel. Elliot Peterson, l’enquêteur principal du FBI sur l’opération Tovar, a déclaré: «Nous avons pu convaincre les bots que nous étions bons à parler, mais tous les pairs, procurations et supernodes contrôlés par les méchants étaient mauvais à parler et devraient Etre ignoré. »

Le propriétaire du botnet Evgeniy Bogachev (alias en ligne Slavik) s’est rendu compte que le retrait était en place après une heure, et a tenté de se défendre pendant quatre ou cinq heures avant de «concéder» la défaite.

Dans la foulée, les chercheurs ont réussi à déchiffrer le cryptage rançongiciel CryptoLocker notoire, créant des outils de décryptage gratuits pour les victimes.

Les botnets IoT sont différents

Les mesures de lutte contre GameOver Zeus étaient étendues mais nécessaires. Il illustre que la puissance pure d’un botnet intelligemment conçu exige une approche globale de l’atténuation, nécessitant «des tactiques juridiques et techniques innovantes avec des outils traditionnels d’application de la loi» ainsi que «de solides relations de travail avec des experts du secteur privé et des homologues des forces de l’ordre dans plus de 10 pays à travers le monde».

Mais tous les botnets ne sont pas identiques. Alors qu’un botnet touche à sa fin, un autre opérateur apprend de la destruction.

En 2016, le plus gros et le plus mauvais botnet était Mirai. Avant son retrait partiel, le botnet Mirai basé sur l’Internet des objets a frappé plusieurs cibles importantes avec des attaques DDoS stupéfiantes. Une telle attaque a frappé le blog du chercheur en sécurité Brian Krebs avec 620 Gbps, forçant finalement la protection DDoS de Krebs à le supprimer en tant que client. Une autre attaque dans les jours suivants a frappé le fournisseur d’hébergement cloud français OVH avec 1,2 Tbit / s dans la plus grande attaque jamais vue. L’image ci-dessous illustre combien de pays Mirai a touché.

Bien que Mirai n’était même pas près d’être le plus grand botnet jamais vu, il a produit les plus grandes attaques. Mirai a fait un usage dévastateur des andains d’appareils IoT ridiculement non sécurisés, en utilisant une liste de 62 mots de passe par défaut non sécurisés pour amasser des appareils (admin / admin était en tête de liste, allez comprendre).

Chercheur en sécurité Marcus Hutchins (alias MalwareTech) explique cette partie de la raison de la puissance massive de Mirai est que la majorité des appareils IoT sont là, sans rien faire jusqu’à ce que cela soit demandé. Cela signifie qu’ils sont presque toujours en ligne et ont presque toujours des ressources réseau à partager. Un opérateur de botnet traditionnel analyserait ses périodes de puissance de pointe et ses attaques de temps en conséquence. Les botnets IoT, pas tellement.

Ainsi, à mesure que des appareils IoT plus mal configurés sont mis en ligne, les chances d’exploitation augmentent.

Rester en sécurité

Nous avons appris ce que fait un botnet, comment il se développe et plus encore. Mais comment empêcher que votre appareil en fasse partie? Eh bien, la première réponse est simple: mettez à jour votre système. Des mises à jour régulières corrigent les trous vulnérables de votre système d’exploitation, ce qui réduit les possibilités d’exploitation.

La seconde consiste à télécharger et à mettre à jour un programme antivirus et un programme anti-programme malveillant également. Il existe de nombreuses suites antivirus gratuites qui offrent une excellente protection à faible impact. Investissez dans un programme antimalware, comme Malwarebytes. Un abonnement Malwarebytes Premium vous coûtera 24,95 $ pour l’année, vous offrant une protection contre les logiciels malveillants en temps réel. Ça vaut bien l’investissement, à mon avis.

Enfin, prenez une sécurité supplémentaire du navigateur. Les kits d’exploitation au volant sont une nuisance, mais ils sont facilement évitables lorsque vous utilisez une extension de blocage de script comme uBlock Origin.

Votre ordinateur faisait-il partie d’un botnet? Comment as-tu réalisé? Avez-vous découvert quelle infection utilisait votre appareil? Faites-nous part de vos expériences ci-dessous!