Comment fonctionne un botnet
Le fonctionnement d’un botnet commence par l’infection d’un appareil. Le logiciel malveillant pénètre dans le système via une vulnérabilité, une page de phishing, une application infectée ou une pièce jointe dans un e-mail.
Après l’installation, l’appareil devient silencieusement un bot à l’insu de l’utilisateur et tente de se connecter à l’infrastructure de gestion C&C (Command and Control). Par son intermédiaire, le botmaster envoie des commandes aux nœuds infectés.
Le cycle typique se présente ainsi :
- infection de l’appareil ;
- connexion au C&C ;
- réception des commandes ;
- exécution de l’attaque.
Plus il y a d’appareils infectés, plus la puissance du botnet est grande et plus il est difficile de distinguer l’attaque du trafic utilisateur normal.
Tous les botnets ne reposent pas sur un serveur de gestion unique. Certains botnets modernes utilisent une architecture P2P. Les appareils infectés échangent des commandes entre eux, de sorte que la désactivation d’un nœud n’arrête pas l’ensemble du réseau.
Types d’attaques de botnet
DDoS
Le scénario le plus courant : surcharger les serveurs avec un grand nombre de requêtes. Les botnets sont capables de mettre hors service des sites web, des services en ligne et l’infrastructure des opérateurs.
Spam et phishing
Les appareils infectés sont utilisés pour l’envoi massif d’e-mails contenant des liens et des pièces jointes malveillants.
Si les appareils infectés des abonnés commencent à envoyer du spam, à participer à des attaques DDoS ou à générer du trafic malveillant, l’opérateur peut restreindre cette activité grâce à Mini-Firewall.
Vol de données
Les botnets peuvent transmettre aux cybercriminels des identifiants, des mots de passe, des données bancaires et d’autres informations confidentielles.
Minage
Certains botnets sont utilisés pour le minage dissimulé de cryptomonnaies en exploitant les ressources des appareils infectés.
Comment se protéger d’un botnet
Les mises à jour régulières du système d’exploitation, l’utilisation d’antivirus, la surveillance de l’activité réseau et le filtrage du trafic suspect permettent de réduire le risque d’infection.
Dans l’infrastructure d’entreprise, des systèmes IDS/IPS, une segmentation du réseau et une surveillance des anomalies sont également utilisés.
La détection de l’activité des botnets dans un réseau d’opérateur, la restriction des flux malveillants et la réduction du risque de blocage des adresses IP sont abordées dans un article dédié.
