Dans le contexte géopolitique actuel, les attaques DDoS sont menées par des hackers animées par des revendications idéologiques. C’est ainsi que le groupe Anonymous Sudan a mené plusieurs attaques contre de grandes entreprises comme Microsoft et OpenAI. Au niveau des pays, les États-Unis, l’Ukraine ou encore la Russie enregistrent le plus grand nombre d’attaques DDoS.
Attaques collectives par saturation de service, les attaques DDoS ont désormais un nom en français. Pour cause, elles dominent les actualités en matière de cybercriminalité. Bien que ce type d’attaque ne soit pas nouveau, la menace est en pleine croissance et retient l’attention des entreprises compte tenu des conséquences. Au premier semestre 2023, les cybercriminels ont lancé environ 7,9 millions d’attaques par déni de service distribué (DDoS).
L’impact d’une attaque est évalué à 50 000 euros, selon une enquête Corero. En effet, une attaque DDoS paralyse l’activité de sa cible. Cet arrêt peut avoir des répercussions financières sérieuses, au-delà d’une réputation écornée. La plupart des attaques durent moins de quinze minutes, selon Cloudflare.
Qu’est-ce qu’une attaque DDoS ?
Si les ransomwares et les attaques de phishing accaparent l’attention des entreprises, les attaques par déni de service distribué (DDoS) constituent également une menace informatique importante. La preuve, l’année 2022 a enregistré plus de 13 millions d’attaques DDoS à travers le monde.
L’objectif d’une attaque par déni de service est de rendre inaccessible le système informatique d’une entreprise. À la différence d’un rançongiciel par exemple, ce type d’attaque ne s’appuie pas sur un malware. Les pirates envoient un volume important de requêtes à leur cible qui peut être un data center, une application ou un site web. Pour envoyer ces requêtes, ils s’appuient sur un réseau d’appareils connectés dont la sécurité a été compromise. Ce réseau peut être composé d’objets connectés, d’ordinateurs et de serveurs.
Cet assaut de données paralyse l’infrastructure de la cible. Elle se trouve dans l’incapacité à répondre à ce volume de trafic. Ainsi, même les demandes légitimes ne sont plus traitées. Dans le cas d’un site web, ce dernier devient hors service.
Bien qu’elle soit moins sophistiquée, une telle attaque pénalise lourdement sa cible. Si l’activité de l’entreprise repose sur son site e-commerce, les préjudices financiers sont énormes. En effet, les clients ne peuvent plus accéder aux produits. Les coûts de mitigation ne sont pas à exclure également. Une attaque DDoS ruine aussi la réputation et l’image d’une marque. Les internautes deviennent plus méfiants quant à la sécurité de leurs données.
De leur côté, les collaborateurs subissent aussi ces perturbations. L’attaque paralyse la chaîne d’activité à tous les niveaux.
Une attaque facile à mettre en place
Les attaques DDoS figurent parmi les moins sophistiquées et les plus faciles à mettre en œuvre. Néanmoins, leur simplicité fait d’elles une menace sérieuse à ne pas négliger. Les cybercriminels n’ont pas besoin d’investir une somme importante dans l’attaque. Pour cause, un assaut de données de 500 Mb/s suffit à paralyser un serveur et le rendre inaccessible.
À noter également que les pirates peuvent désormais utiliser les services de plateformes « DDoS As A service ». Ils peuvent également louer un parc entier d’ordinateurs infectés pour mener leur attaque. Le coût de location pour une heure est estimé à 5 dollars. Pourtant, cela suffit à envoyer des Go de requêtes. Cloudflare rapporte par exemple une attaque de plus 71 millions de requêtes par seconde au premier trimestre 2023. Ce chiffre dépasse largement le dernier record enregistré par Google de 46 millions de requêtes par seconde.
Une menace en constante augmentation
Les attaques DDoS visent aussi bien les grandes entreprises que les petites structures. Leur nombre augmente d’année en année. Un rapport Lumen révèle par exemple une hausse de 40 % de ce type d’attaque au 1ᵉʳ trimestre de l’année 2023 par rapport à la même période de l’année précédente. Les pirates utilisent une bande passante plus importante. L’attaque la plus volumineuse s’est servie de 817 Gb/s de données.
Un autre rapport, celui de Radware Full Year, révèle une augmentation de 150 % des attaques entre l’année 2021 et 2022. Une attaque DDoS dure en moyenne une dizaine de minutes. Néanmoins, les pirates peuvent la réitérer à un intervalle de temps régulier. Ce même rapport informe que la durée de l’attaque la plus longue est de 66 heures.
Pour tout problème lié à l'envoi de ce formulaire, écrivez à contact@guardia.school ou appelez le 04 28 29 58 49
Comment fonctionne une attaque DDoS ?
Les attaques DDoS sont menées depuis un réseau d’appareils connectés à Internet. La sécurité de ces appareils a été compromise. En y installant un logiciel malveillant, les pirates peuvent désormais les contrôler à distance.
Chaque appareil infecté et contrôlé par les pirates est appelé « zombie » ou « bot ». Ensemble, ces bots constituent une véritable armée appelée « botnet ». La principale force du botnet est le nombre de bots qui le compose. Ceci garantit la portée d’une attaque DDoS.
À noter que les propriétaires légitimes de ces terminaux infectés ne sont généralement pas au courant de la situation. Ils deviennent ainsi des dommages collatéraux de l’attaque.
Une fois le botnet formé, le cybercriminel dispose désormais du contrôle à distance. Il envoie ainsi les instructions pour cibler un site ou un serveur en particulier. Une fois le réseau cible identifié, chaque bot envoie des requêtes à son adresse IP. Cette hausse de trafic soudaine et le surnombre provoquent un déni de service. Un internaute légitime ne peut plus accéder à l’application ou le site web.
Comme la formation d’un botnet demande beaucoup de travail, des acteurs malveillants proposent la location de ce service. Cela permet à des personnes n’ayant aucune notion en informatique de mener facilement une attaque DDoS.
L’utilisation de botnets plus performants
Les nouvelles attaques DDoS tirent profit d’une nouvelle génération de botnets. Contrairement à un botnet classique formé à partir d’appareils connectés, ce botnet sophistiqué s’appuie sur des serveurs privés virtuels.
Un botnet exploitait historiquement des appareils IdO (Internet des objets) à l’instar des caméras de surveillance intelligentes. Ces appareils présentaient néanmoins des limites en matière de débit, mais ils permettaient de fournir une quantité suffisante de sources de trafic pour paralyser sa cible.
De son côté, le botnet nouvelle génération exploite un serveur privé virtuel composé de milliers, voire de millions d’appareils. L’essor du cloud computing a augmenté le nombre de serveurs privés. Les fournisseurs proposent des solutions toujours performantes à leurs clients pour stocker des données, développer des applications, etc.
Les cybercriminels ont profité de ce développement pour mettre au point des botnets plus sophistiqués. Ils sont 5 000 fois plus puissants selon Cloudflare. Les pirates exploitent des failles de sécurité au niveau des serveurs : fuite d’identifiants API, absence de mise à jour du serveur, etc.
Les attaques DDoS avec demande de rançon
Certaines attaques DDoS sont menées dans le but d’obtenir une rançon de leur victime. Contrairement à un ransomware, une attaque DDoS n’utilise pas de subterfuges pour inciter la victime à ouvrir une pièce jointe ou à cliquer sur un lien.
Ce type d’attaque avec une demande de rançon est plus facile à mettre en place. Les acteurs malveillants n’ont pas besoin de piéger leur cible. De même, l’intrusion sur le réseau ou l’ordinateur d’une victime n’est pas nécessaire.
Il suffit d’envoyer un volume de trafic important à la cible pour mettre hors ligne ses serveurs DNS ou son site web. Lorsque le service est indisponible, le cybercriminel demande le paiement d’une rançon en cryptomonnaie pour arrêter l’attaque.
D’après CloudFlare, le mois de novembre a enregistré le plus grand nombre d’attaques DDoS avec demande de rançon en 2022. Pour cause, des événements commerciaux importants comme le Thanksgiving, le Black Friday ou encore la Journée des célibataires (Chine) se déroulent à cette période. Les entreprises ont tout intérêt à ce que leur site soit opérationnel pour l’événement.
Les principales cibles d’une attaque DDoS
En s’appuyant sur le pourcentage de trafic hostile par rapport au trafic total des secteurs, le secteur d’Internet a subi le plus d’assauts des attaques DDoS en 2022. Le secteur du marketing et de la publicité ainsi que celui de l’informatique et des logiciels complètent le podium.
Si l’on s’appuie sur le pourcentage de trafic hostile par rapport au trafic total d’un secteur, les ONG ont été les plus visées par les attaques DDoS au premier trimestre 2023.
Le e secteur des casinos en ligne est le plus touché en Europe et en Asie. En Amérique latine, ce sont les assurances et les banques. En revanche, la publicité et le marketing sont les plus visés en Amérique du Nord. Enfin, les cybercriminels ciblent particulièrement le secteur de la santé en Océanie.
Les attaques DDoS les plus marquantes de ces dernières années
La plus grande attaque DDoS enregistrée à ce jour visait Google en 2017. Le volume de l’attaque est estimé à 2,54 Tb/s. Pourtant, ce n’est que trois ans plus tard que Google confirme cette attaque. Les pirates ont réussi à infecter 180 000 serveurs web pour bombarder Google. Néanmoins, l’incident n’est pas sans précédent puisque Google subissait déjà le même type d’attaque à moindre ampleur durant les six mois précédents.
En 2020, c’est l’entreprise AWS qui déclare avoir subi une attaque DDoS de 2,3 Tb/s. Malheureusement, elle n’a pas donné de détails sur les données compromises lors de cette attaque.
En 2018, c’est le service de gestion de code en ligne GitHub qui est victime d’une attaque DDoS de grande ampleur. L’envoi des paquets suivait un rythme de 126,9 millions par seconde pour 1,3 Tb/s. Cette attaque n’utilisait aucun botnet puisque les pirates se servaient d’une attaque DDoS memcached.
Pourtant, en 2015, le service était déjà la cible d’un trafic DDoS. L’attaque avait cette fois-ci des motivations politiques puisque le trafic provenait de la Chine. À l’époque, deux projets sur Github visaient à contourner la censure imposée par l’État chinois.
En 2013, c’est l’organisation de lutte contre le spam Spamhaus qui paie les frais d’une attaque DDoS. Le débit de l’attaque s’élevait à 300 Gb/s.
ChatGPT : ciblé par le groupe Anonymous Sudan
Une panne des services du robot conversationnel ChatGPT en novembre a suscité la curiosité des professionnels et particuliers. Durant la panne, Open AI déclarait avoir identifié un problème au niveau de ChatGPT et avoir appliqué un correctif quelques heures plus tard.
Si l’entreprise américaine n’a pas donné de détails sur le problème rendant inaccessible son service pendant deux heures, le groupe d’hacktiviste Anonymous Sudan revendique une attaque DDoS. Ce collectif de hackers mène des attaques contre les organisations occidentales depuis le début de l’année 2023.
Il ne s’agit pas de la première attaque visant OpenAI. En mai, le groupe avait déjà revendiqué le vol de données sur 100 000 comptes ChatGPT. Les informations de ces utilisateurs se trouvaient ensuite sur le darkweb.
Microsoft : victime d’une attaque de grande ampleur
Au mois de juin 2023, le géant américain avait déclaré qu’une attaque DDoS a provoqué quelques perturbations au niveau de ses services. Microsoft ne donne toutefois aucun détail sur une éventuelle compromission des données clients.
L’attaque a mis hors service Microsoft 365, notamment Outlook. L’incident a également touché la plateforme cloud Azure.
Si Microsoft n’a pas révélé l’identité des attaquants, Anonymous Sudan revendique l’attaque. Le groupe de cybercriminels déclare être affilié à Killnet, un autre groupe d’hacktivistes russes spécialisés dans les attaques DDoS.
Les différents types d’attaques DDoS
Les attaques DDoS se présentent sous différentes formes. Les principales méthodes utilisées par les hackers sont les attaques volumétriques, au niveau de la couche applicative et protocolaire.
Une attaque volumétrique
Comme son nom l’indique, ce type d’attaque repose sur le volume de trafic pour saturer le réseau de la victime. Les utilisateurs n’ont plus accès au service. Cela signifie qu’un client ne peut pas valider son paiement, acheter en ligne, un médecin ne peut pas consulter le dossier de son patient, etc. Comme les attaques prennent le contrôle d’appareils à l’insu de leurs propriétaires légitimes, il n’est pas évident pour la victime d’identifier l’instigateur de l’attaque.
L’attaque volumétrique est la méthode la plus utilisée. Elle représente 59 % des attaques DDoS, selon une étude F5 Labs, menée en 2022.
Une attaque sur la couche d’application
Appelée aussi attaque de la couche 7, son objectif est d’épuiser les ressources de la cible à force de répondre aux requêtes HTTP. Ceci aboutit à un déni de service. Prenons l’exemple d’une attaque HTTP flood, des milliers de bots actualisent leur navigateur au même moment augmentant ainsi les requêtes HTTP. Le serveur est submergé et se trouve dans l’incapacité de répondre.
Une attaque protocolaire
Elle est également appelée « attaque par épuisement des tables d’état ». Une attaque protocolaire vise à épuiser les ressources des serveurs ainsi que les autres équipements du réseau. Ce type d’attaque exploite les couches 3 et 4 du protocole. Le SYN Flood en est un exemple.
01010011 01101001 00100000 01110100 01110101 00100000 01100101 01110011 00100000 01101001 01100011 01101001 00100000 01100011 00100111 01100101 01110011 01110100 00100000 01110001 01110101 01100101 00100000 01110100 01110101 00100000 01100011 01101000 01100101 01110010 01100011 01101000 01100101 01110011 00100000 01110001 01110101 01100101 01101100 01110001 01110101 01100101 00100000 01100011 01101000 01101111 01110011 01100101 00101110 00100000 01010110 01100001 00100000 01110110 01101111 01101001 01110010 00100000 01100100 01100001 01101110 01110011 00100000 01101100 01100101 00100000 01100011 01101111 01100100 01100101 00100000 01110011 01101111 01110101 01110010 01100011 01100101 00101110
Une attaque par déni de service vise à rendre le système informatique d'une entreprise inaccessible. Contrairement à un rançongiciel, cette attaque ne nécessite pas de logiciel malveillant. Les pirates envoient un grand nombre de requêtes à leur cible, comme un data center, une application ou un site web, en exploitant un réseau d'appareils compromis, y compris des objets connectés, des ordinateurs et des serveurs. Cette surcharge de données paralyse l'infrastructure de la cible, l'empêchant de traiter les requêtes normales et rendant le site web hors service.
Au premier semestre 2023, les cybercriminels ont lancé environ 7,9 millions d'attaques par déni de service distribué (DDoS). Soit une hausse de 31 % par rapport au premier semestre 2022.
Les attaques DDoS se présentent sous différentes formes, telles que les attaques volumétriques, les attaques sur la couche applicative, et les attaques protocolaires. Les attaques volumétriques sont basées sur un volume massif de trafic pour saturer le réseau de la victime. Les attaques sur la couche applicative épuisent les ressources en répondant à des requêtes HTTP de manière intensive. Quant aux attaques protocolaires, elles visent à épuiser les ressources des serveurs en exploitant les couches 3 et 4 du protocole.
