“`html
{
"@context": "https://schema.org",
"@type": "NewsArticle",
"headline": "Une attaque DDoS massive de 6,3 Tbps frappe un site web",
"description": "Un site web a subi une attaque par déni de service distribué (DDoS) d'une ampleur considérable,potentiellement orchestrée par le botnet Aisuru.",
"datePublished": "2024-05-07T18:00:00+03:00",
"dateModified": "2024-05-07T18:00:00+03:00",
"author": {
"name": "%%author%%
Un site web a récemment subi une attaque par déni de service distribué (DDoS) d'une ampleur considérable, atteignant plus de 6,3 térabits de données par seconde. Cette attaque, bien que brève, semble être un test pour un nouveau botnet Internet des objets (IoT) capable de lancer des assauts numériques dévastateurs.
À titre de comparaison, l'attaque de 6,3 Tbps est dix fois plus importante que celle subie en 2016 par le botnet IoT Mirai.
Depuis l'attaque de Mirai, le site web est protégé par un service de défense DDoS gratuit fourni par Google. Un ingénieur en sécurité de Google a déclaré que l'attaque récente était la plus importante que Google ait jamais gérée. En termes de taille, elle se classe juste après une attaque similaire que Cloudflare a atténuée.
Après analyze,il a été établi que le botnet responsable de ces attaques porte les caractéristiques d'Aisuru,une entité apparue il y a moins d'un an. L'attaque a duré moins d'une minute, projetant d'importants paquets de données UDP à des ports aléatoires à un rythme d'environ 585 millions de paquets par seconde.
« C'était le type d'attaque normalement conçu pour submerger les liaisons réseau », a déclaré l'ingénieur, faisant référence aux connexions de débit entre les différents fournisseurs de services Internet (FAI). « Pour la plupart des entreprises,une attaque de cette ampleur serait fatale. »
Le botnet Aisuru est constitué d'un ensemble d'appareils IoT piratés, notamment des routeurs, des enregistreurs vidéo numériques et d'autres systèmes compromis via des mots de passe par défaut ou des vulnérabilités logicielles. Des chercheurs ont identifié le botnet lors d'une attaque contre une grande plateforme de jeux en août 2024.Aisuru s'est ensuite fait discret avant de réapparaître avec une puissance de feu et des exploits logiciels accrus.Une vulnérabilité zero-day jusqu'alors inconnue dans les routeurs cambium Networks cnPilot a été intégrée.
L'accès au botnet est proposé à la location sur des canaux de discussion Telegram publics, avec des abonnements allant de 150 $ par jour à 600 $ par semaine, offrant des attaques allant jusqu'à deux térabits par seconde.
« Vous ne pouvez pas attaquer les murs de mesure, les établissements de santé, les écoles ou les sites gouvernementaux », pouvait-on lire dans un avis publié sur Telegram par les propriétaires du botnet Aisuru.
Les personnes intéressées étaient invitées à contacter le compte Telegram pour souscrire un abonnement.
Selon le FBI, les domaines de location de DDoS ont été saisis lors de plusieurs opérations des forces de l'ordre au fil des ans.
« L'opérateur de ce service, qui se fait appeler 'Forky', exploite un canal Telegram pour annoncer les fonctionnalités et communiquer avec les clients DDoS actuels et potentiels », indique un mandat de saisie du FBI.
Le mandat du FBI indiquait que le jour même où les saisies ont été annoncées, Forky a publié un lien vers un article détaillant l'opération de saisie de domaine, ajoutant le commentaire : « Nous achetons nos nouveaux domaines dès maintenant. »
Une analyse des publications de Forky sur les chaînes Telegram publiques révèle un individu de 21 ans qui prétend résider au Brésil.
Depuis fin 2022, les publications de Forky ont fréquemment fait la promotion d'une société d'atténuation DDoS et d'un FAI qu'il exploite. Le site web est lié à une entité commerciale enregistrée au Royaume-Uni,qui répertorie une femme de 21 ans de Sao Paulo,au Brésil,comme directrice. Les enregistrements de routage Internet indiquent que la société contrôle actuellement plusieurs centaines d'adresses Internet qui lui ont été attribuées plus tôt cette année.
Un profil LinkedIn indique que cette personne est un spécialiste des réseaux du Brésil qui travaille dans « la planification et la mise en œuvre d'infrastructures réseau robustes,en mettant l'accent sur la sécurité,l'atténuation des DDoS,la colocation et les services de serveurs cloud ».
Dans ses publications sur les chaînes de discussion Telegram publiques, Forky n'a guère tenté de dissimuler son identité. Dans d'innombrables conversations, Forky parlait de la vie quotidienne au Brésil, remarquant souvent les prix extrêmement bas ou élevés au Brésil pour une gamme de biens, du matériel informatique et de réseau aux stupéfiants et à la nourriture.
Contacté via Telegram, Forky a affirmé qu'il « n'était plus impliqué dans ce type d'actions illégales depuis des années maintenant » et que le projet avait été repris par d'autres développeurs non spécifiés. Forky a d'abord déclaré qu'il était sorti de la scène des botnets depuis des années, avant de concéder que ce n'était pas vrai lorsqu'on lui a présenté des messages publics sur Telegram datant de la fin de l'année dernière qui montraient clairement le contraire.Forky a nié être impliqué dans l'attaque, mais a reconnu avoir contribué au développement et à la commercialisation du botnet Aisuru.Forky affirme qu'il n'est plus qu'un membre du personnel de l'équipe du botnet Aisuru et qu'il a cessé d'exploiter le botnet il y a environ deux mois après avoir fondé une famille. Forky a également déclaré que la femme nommée directrice est apparentée à lui.
Forky a offert des réponses équivoques et évasives à un certain nombre de questions sur le botnet Aisuru et ses activités commerciales. Mais sur un point, il était clair comme de l'eau de roche :
« je n'ai aucune crainte de vous, du FBI ou d'Interpol », a déclaré Forky, affirmant qu'il se concentre désormais presque entièrement sur son activité d'hébergement.
Forky a refusé de discuter de la composition de la clientèle de son FAI ou de préciser si son entreprise était davantage un fournisseur d'hébergement ou une société d'atténuation DDoS. Cependant, Forky a publié sur Telegram des informations sur la manière dont son entreprise a réussi à atténuer les attaques DDoS de grande envergure lancées contre d'autres services de location de DDoS.
La même adresse de rue de sao Paulo figurant dans les enregistrements d'enregistrement a été utilisée pour enregistrer plusieurs autres domaines.L'adresse électronique figurant dans les enregistrements WHOIS de ce domaine a été utilisée pour enregistrer le domaine du service de location de DDoS aujourd'hui disparu, l'un des domaines saisis lors de la répression du FBI en 2023.Le ministère de la Justice des États-Unis a annoncé la saisie, ainsi qu'une douzaine d'autres domaines offrant des services DDoS. le ministère de la Justice a déclaré que dix des 13 domaines étaient des réincarnations de services qui avaient été saisis lors d'une opération antérieure en décembre, qui visait 48 des principaux services de stress (également appelés « booters »).
Forky a affirmé qu'il pouvait découvrir qui avait attaqué le site avec Aisuru. Mais lorsqu'on l'a interrogé un jour plus tard sur la question, Forky a déclaré qu'il était revenu les mains vides.
« J'ai essayé de me renseigner, tous les grands ne sont pas assez stupides pour vous attaquer », a expliqué Forky lors d'une interview sur Telegram. « Je n'y suis pour rien. Mais vous êtes les bienvenus pour écrire l'histoire et essayer de me faire porter le chapeau. »
L'attaque de 6,3 Tbps n'a causé aucune perturbation visible sur ce site, en partie parce qu'elle a été si brève, durant environ 45 secondes. Les attaques DDoS d'une telle ampleur et d'une telle brièveté sont généralement produites lorsque les opérateurs de botnets souhaitent tester ou démontrer leur puissance de feu au profit d'acheteurs potentiels. En effet, il est probable que l'attaque et l'attaque légèrement plus importante contre cloudflare le mois dernier n'étaient que des tests des capacités du même botnet.
À bien des égards, la menace posée par le botnet Aisuru/Airashi rappelle Mirai, une souche de malware iot innovante qui a émergé à l'été 2016 et a réussi à surpasser pratiquement toutes les autres souches de malware IoT existantes à l'époque.
Les auteurs de Mirai étaient deux Américains qui cogéraient un service d'atténuation DDoS, tout en vendant des services de location de DDoS bien plus lucratifs en utilisant le botnet le plus puissant de la planète.
Moins d'une semaine après que le botnet Mirai a été utilisé dans une attaque DDoS de plusieurs jours, les auteurs de Mirai ont publié le code source de leur botnet afin qu'ils ne soient pas les seuls à le posséder en cas d'arrestation par les enquêteurs fédéraux.
Ironiquement, la fuite du code source de Mirai est précisément ce qui a conduit au démasquage et à l'arrestation des auteurs de Mirai, qui ont ensuite purgé des peines de probation qui les obligeaient à consulter les enquêteurs du FBI sur les enquêtes DDoS. Mais cette fuite a également rapidement conduit à la création de dizaines de clones de botnets Mirai, dont beaucoup ont été exploités pour alimenter leurs propres puissants services de location de DDoS.
Il serait probablement préférable pour l'ensemble de l'Internet que le code source d'aisuru soit rendu public. Après tout,les personnes derrière Aisuru sont en constante concurrence avec d'autres opérateurs de botnets IoT qui s'efforcent tous de s'emparer d'un nombre limité d'appareils IoT vulnérables à l'échelle mondiale.Un tel développement entraînerait presque certainement une prolifération de clones de botnets Aisuru, mais au moins, la puissance de feu globale de chaque botnet individuel serait considérablement diminuée, ou du moins à portée des capacités d'atténuation de la plupart des fournisseurs de protection DDoS.
À défaut d'une fuite du code source, il serait bon que quelqu'un publie la liste complète des exploits logiciels utilisés par les opérateurs d'Aisuru pour développer leur botnet si rapidement.
« Une des raisons pour lesquelles Mirai était si dangereux est qu'il a effectivement éliminé les botnets concurrents », a-t-il déclaré. « Cette attaque a réussi à compromettre toutes ces boîtes dont personne d'autre n'est au courant. idéalement, nous aimerions voir cela fragmenté, afin qu'aucun [opérateur de botnet individuel] ne contrôle trop de choses. »