Botnets, la menace invisible : Évolution des canaux de contrôle

Présentation

RÉSUMÉ

Le monde de la sécurité Internet est un domaine en constante évolution. Les menaces évoluent, changent : DOS et DDOS (déni de service), spam et phishing, compromission de systèmes, défiguration de sites web, ver et virus... Parmi les dangers en forte progression, les botnets (roBOT NETwork) tiennent une place d’honneur. Les pirates ont en effet compris que les PC des utilisateurs constituent des ressources anonymes et gratuites leur permettant de commettre leurs méfaits. Ainsi, les PC d’utilisateurs lambda sont attaqués, compromis, puis infectés par des programmes qui permettent aux pirates d’en prendre le contrôle total en toute discrétion. Ces ordinateurs, transformés en zombies à la merci des pirates, forment un botnet, réseau de machines compromises qui obéissent au « Botnet Master », chef d’orchestre du réseau. Afin de rendre ces réseaux les plus résilients et furtifs possibles, les protocoles de communications entre zombies et botnet master sont aussi en perpétuelle évolution.

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

Auteur(s)

Franck VEYSSET : Expert en sécurité des réseaux
Laurent BUTTI : Expert en sécurité des réseaux

INTRODUCTION

En quelques années, le nombre de systèmes connectés à lnternet a véritablement explosé. L'arrivée des connexions « toujours actives », de type xDSL ou câble, et la faible sécurisation des machines des particuliers a apporté son lot de nouvelles menaces, parmi lesquelles les machines « zombies ». Ces machines, infectées et télépilotées, sont réunies dans des réseaux mondiaux – les « botnets » – pour être ensuite contrôlées par des individus peu scrupuleux, à la recherche de profit sur Internet, utilisant ces énormes ressources pour s'adonner au spam, phishing, attaques de déni de service et bien d'autres...

Qu'est-ce qu'un botnet ?

Selon Wikipédia, les botnets ou ordinateurs « zombies » forment des réseaux de PC infectés par des virus informatiques ou par des chevaux de Troie, contrôlés via Internet le plus souvent à des fins malveillantes.

Le terme « botnet » est l'abréviation anglaise de roBOT NETwork, ou réseau de machines « robots ».

En plus de servir à paralyser le trafic (attaque par déni de service aussi appelé DDoS), de moteur à la diffusion de spam, les botnets peuvent également être utilisés pour commettre des délits comme le vol de données bancaires et identitaires à grande échelle. Les botnets sont parfois loués à des tiers peu scrupuleux.

Selon Symantec, fin 2004, le parc le plus important de PC contaminés se trouve au Royaume-Uni (avec 25,2 % des machines). Les États-Unis décrochent la deuxième place avec 24,6 %. Ils sont suivis respectivement par la Chine (7,8 %), le Canada (4,9 %) et l'Espagne (3,8 %). La France est au sixième rang avec 3,6 % d'ordinateurs victimes d'une prise de contrôle sauvage à distance.

Selon Sophos, début 2005, la première place est attribuée aux États-Unis (35,7 % de pourriels détectés), suivis de la Corée du Sud et de la Chine, puis de la France avec 3,19 %.

Selon Sophos, début 2007, la première place est toujours attribuée aux États-Unis avec 22 %. La deuxième place est cette fois-ci prise par la Chine (incluant Hong Kong) avec 15,9 %, puis par la Corée du Sud avec 7,4 %. La France est toujours quatrième de ce palmarès avec 5,4 %, suivie de près par l'Espagne avec 5,1 % des pourriels détectés.

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !

L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.

+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.

De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v1-h5335

CET ARTICLE SE TROUVE ÉGALEMENT DANS :

Accueil > Ressources documentaires > Archives > [Archives] Sécurité et gestion des risques > Botnets, la menace invisible > Évolution des canaux de contrôle

Cet article fait partie de l’offre

Sécurité des systèmes d'information

(77 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Présentation

Page
suivante

Analyse de malware « for dummies »

3. Évolution des canaux de contrôle

Grâce aux parties précédentes, il est aisé de comprendre que le canal de contrôle joue un rôle primordial dans le fonctionnement du botnet, aussi bien en termes de furtivité (capacité à ne pas être détecté) que de résilience de ses capacités de communication (capacité de résistance en cas d'attaques sur le canal de contrôle).

À l'époque des canaux de contrôle en IRC, une solution basique mais efficace a été de bloquer certains noms DNS ou adresses IP qui étaient référencés en tant que serveurs IRC de contrôle de botnets. Les machines infectées n'ayant plus de possibilité d'être pilotées à distance par l'attaquant, elles devenaient alors complètement aveugles et inutiles.

Cette technique est relativement facile à implémenter et déployer – même sur un réseau opérationnel – mais le point le plus critique est de ne pas impacter des services réels et légitimes. Il faut donc, dans un premier temps, trouver sur quel serveur IRC se connectent les machines infectées d'un botnet particulier. Plusieurs techniques sont possibles. Soit il est envisageable d'analyser le trafic IRC et d'en déduire des comportements de type botnet, soit il faut réaliser une étude du fonctionnement d'un exécutable malveillant qui aura été préalablement capturé (par un pot de miel par exemple) (figure ).

Avoir l'exécutable, c'est aussi avoir son contenu, malgré les techniques de protection logicielles qui peuvent être présentes (antidébug, obfuscation, anti-vm, antisandbox...). Par conséquent, soit avec un peu de reverse engineering, soit avec l'aide de mécanismes d'analyse automatique (comme les sandbox : Anubis) il est relativement aisé d'en déduire le serveur IRC sur lequel le bot en question se connecte pour y recevoir ses ordres. Nous invitons le lecteur à consulter le prochain chapitre pour de plus amples informations.

Le canal de contrôle par IRC, bien qu'efficace à ses débuts, présente bien des lacunes pour asseoir des propriétés capitales dans les botnets, à savoir la furtivité et la résilience. Les auteurs de botnets ont donc migré vers d'autres solutions bien plus difficiles à filtrer comme, par exemple, l'utilisation de canaux Web (HTTP) ou P2P (par exemple Overnet). Aujourd'hui, les auteurs de botnets utilisent massivement ces types de protocoles de communication et rendent la tâche réellement difficile pour la lutte contre la propagation et l'utilisation de ces réseaux de botnets.

L'architecture...