Cela commence par une commande. Une seule ligne de code envoyée dans les recoins sombres d’Internet. Soudain, des milliers de machines – compromises, inconscientes et ressemblant à des zombies – commencent à marteler une seule cible. Le but est la force brute. La méthode est écrasante. Il s’agit d’une attaque de Distributed Denial of Service, ou DDoS en abrégé.
Les utilisateurs légitimes voient un site Web s’arrêter. Puis il disparaît. Le serveur est tout simplement trop occupé à traiter de fausses demandes pour répondre aux vraies. Ce n’est pas un hack au sens traditionnel du terme ; aucune donnée n’est volée, aucun mot de passe craqué. Il s’agit d’un embouteillage numérique conçu pour provoquer un crash.
L’illusion de l’innocence
La mécanique de base est rudimentaire. Un pirate informatique contrôle un botnet, un réseau d’ordinateurs infectés, et leur ordonne d’envoyer une requête ping à un serveur spécifique à plusieurs reprises. Le pic de trafic est l’arme. Mais les attaquants intelligents ont évolué. Ils ne se contentent plus d’envoyer eux-mêmes l’attaque. Ils utilisent des systèmes innocents comme boucliers et miroirs.
Cette technique repose sur quelque chose appelé réflexion. L’attaquant envoie une requête à un serveur tiers, appelé réflecteur. Surtout, ils usurpent l’adresse IP source dans cette demande pour donner l’impression qu’elle provient de la véritable victime. Le réflecteur reçoit la demande, suppose qu’il s’agit d’une requête légitime et renvoie une réponse à l’adresse usurpée : la victime.
Désormais, la victime est submergée non seulement par le botnet, mais aussi par des dizaines, voire des centaines de réflecteurs. Pour la victime, il semble que les réflecteurs l’attaquent. D’après les réflecteurs, il semble que la victime en ait fait la demande. Les ordinateurs zombies restent cachés derrière ce rideau de désinformation. Le cracker reste totalement invisible.
Cibles célèbres et noms dangereux
Ce n’est pas théorique. Les grands acteurs ont ressenti le coup. Microsoft a été victime d’une attaque DDoS liée au ver MyDoom. Amazon, CNN, Yahoo et eBay ont tous été ciblés. Les attaques portent des noms allant du technique au plus sombre et humoristique.
- Ping of Death : les robots génèrent des paquets de données surdimensionnés. Lorsque la victime tente de les traiter, le système rencontre des difficultés ou échoue.
- Mailbomb : Un flot d’e-mails envoyés à des serveurs de messagerie en panne.
- Smurf Attack : un type spécifique d’attaque par réflexion utilisant des messages ICMP (Internet Control Message Protocol). Les robots envoient ces messages à des réflecteurs, qui diffusent ensuite les réponses à la victime.
- Teardrop : les robots envoient des paquets fragmentés. La victime tente de les remonter, mais les fragments sont mal formés, provoquant un crash.
Le dilemme de l’administrateur
Une fois la tempête survenue, l’administrateur système se retrouve souvent avec peu d’options intéressantes. Ils pourraient limiter le trafic entrant. Mais cela coupe les utilisateurs légitimes ainsi que les attaquants. C’est une décision défensive qui nuit aux affaires.
Le filtrage est une autre voie. Si vous savez d’où vient l’attaque, vous pouvez bloquer ces adresses IP. Le problème ? Les adresses usurpées rendent cela presque impossible. Les zombies n’utilisent pas leur véritable identité. Ils mentent. Le trafic semble venir de partout et de nulle part à la fois.
Script Kiddies et conséquences réelles
Tous les attaquants ne sont pas des États-nations sophistiqués. Certains sont des adolescents avec trop de temps et trop peu de surveillance. Le 4 mai 2001, un jeune de 13 ans a fait tomber GRC.com, le site de Gibson Research Corporation. L’ironie était palpable : un site dédié à la sécurité Internet a été supprimé par quelqu’un qui ne comprenait probablement pas pleinement les mécanismes qu’il maniait.
Ensuite, il y a le cas de Hanoï, au Vietnam, en 2006. La police a arrêté un étudiant de deuxième année du lycée pour avoir orchestré une attaque DDoS contre la société de logiciels Nhan Hoa. Son motif ? Il n’aimait pas le site Web. Pas de grande déclaration politique. Aucun gain financier. Juste du dépit.
Ces histoires mettent en lumière une réalité désordonnée. Les outils pour démonter les serveurs sont accessibles. Les motivations varient d’idéologiques à insignifiantes. Et les victimes ? Ils doivent nettoyer les décombres, se demandant comment arrêter une inondation qui semble venir de toutes les directions à la fois.
Que se passe-t-il lorsque l’eau monte plus haut ? Et qui paie les dégâts ?
