Internet a abordé le week-end de la pire des façons. Plusieurs grands sites, parmi lesquels Twitter, Netflix, Reddit et Spotify, ont commencé à afficher des erreurs d'accès, sans que leurs propres infrastructures ne soient en cause. La nouvelle cyberattaque a visé Dyn, l'une des entreprises les plus importantes au monde dans la distribution de DNS. L'attaque a surtout frappé les États-Unis, et les données disponibles de ces dernières 72 heures indiquent une botnet basée sur un malware nommé Mirai.
On savait qu'une autre cyberattaque allait frapper l'infrastructure d'Internet. Quels que soient les derniers événements enregistrés, le sentiment que leurs auteurs « s'entraînaient », se préparant à quelque chose d'énorme, ne s'est jamais dissipé. Eh bien, il semble que ce « quelque chose » se soit produit vendredi dernier, quand une moitié d'Internet aux États-Unis et une partie de l'Europe ont tout simplement disparu. Des dizaines de sites très en vue ont été affectés, dans tous les genres et tous les services. Netflix, Amazon, Spotify, HBO, PayPal, Twitter, Reddit, The Elder Scrolls Online, Electronic Arts, Starbucks, Quora, des portails d'actualités… la liste est longue. Le plus frappant est que l'attaque ne visait pas ces sites, mais cherchait à compromettre le système qui nous permet d'y accéder. En d'autres termes, on a attaqué la société distributrice de DNS Dyn, que beaucoup connaissaient auparavant sous le nom de DynDNS.
Selon le rapport publié par Dyn lui-même, l'attaque DDoS a commencé peu avant 11 h 10 (UTC/GMT) vendredi dernier, et a été déclarée « résolue » onze heures plus tard. On a cru à deux reprises que l'attaque avait été atténuée, mais la pause moyenne a été d'environ trois heures. Les effets de l'attaque ont frappé de plein fouet les serveurs de Dyn sur la côte est des États-Unis, tout en touchant pratiquement tout le territoire du pays et une partie de l'Europe. Avec le temps, plusieurs sociétés de sécurité ont déterminé que la botnet responsable de la cyberattaque était basée sur le malware Mirai. Si le nom semble familier, c'est parce qu'il s'agit du même malware utilisé contre le portail Krebs on Security, et dans le DDoS record qui a fait tomber le fournisseur français OVH. La compétence particulière de Mirai consiste à transformer des dispositifs comme des caméras de surveillance, des babyphones et d'autres accessoires de l'Internet des objets en une armée de zombies capable de déployer une puissance dévastatrice. Comme si cela ne suffisait pas, la personne responsable de Mirai, qui utilise le pseudonyme « Anna-sempai », a libéré son code au cours des dernières semaines de septembre. Bien que cela ne signifie pas que la même botnet ait participé aux trois attaques, l'intervention de Mirai dans tous les cas est très claire.
La société de sécurité Flashpoint a partagé des détails supplémentaires sur les « zombies » qui ont attaqué Dyn. Bien qu'elle n'ait pas exclu la possibilité que plusieurs botnets combinées aient participé à l'attaque, Flashpoint a averti que les dispositifs basés sur le matériel d'une entreprise chinoise, XiongMai Technologies, ont été les plus touchés. Cela nous rappelle le manque de sécurité et de responsabilité des fabricants qui ne protègent pas correctement leurs produits. Tous ces accessoires sont vendus avec un mot de passe interne d'usine (codé en dur) que l'utilisateur ne peut pas modifier, et, plus grave encore, ils laissent l'accès ouvert via telnet ou SSH, des mets servis sur des plateaux d'argent pour les malwares. Un simple balayage à la recherche de matériel vulnérable a permis à Flashpoint d'en trouver plus d'un demi-million, et personne ne sait combien un malware persistant pourrait en découvrir. C'est exactement comme l'avait anticipé Martin McKeay d'Akamai après l'attaque d'OVH : Des pannes sur Internet.
La dure vérité est que cela ne va pas s'arrêter. Une fois que les capacités de Mirai seront entièrement comprises, on pourra peut-être le contenir, mais les personnes responsables des attaques sont très intelligentes et n'ont qu'à prendre son code pour créer quelque chose d'encore plus rusé. Il est peut-être temps de mettre l'Internet des objets sur le banc des accusés et de mettre en œuvre des certifications obligatoires que les fabricants devront suivre afin de garantir que leurs produits ne compromettent pas une infrastructure déjà très délicate. Bien sûr, cela se traduit par des dépenses supplémentaires. L'idée de remplacer du matériel défectueux et non sécurisé sera résistée de bout en bout ; cependant, la mécanique des « correctifs et de l'atténuation » arrive à sa limite.
Krebs on Security
Flashpoint
