L''utilisation du botnet Butterfly aurait causé 850 M$ de pertes et infecté 11 millions de machines. :
"Les 10 personnes arrêtées sont originaires de Bosnie-Herzégovine, de Croatie, de Macédoine, et de Nouvelle-Zélande et également du Pérou, du Royaume-Uni et des États-Unis"
"..Le botnet est appelé Skynet et peut être utilisé pour lancer des attaques de type DDoS (déni distribué de service), générer des Bitcoins - un type de monnaie virtuelle - en utilisant la puissance de traitement des cartes graphiques installées sur les ordinateurs infectés, télécharger et exécuter des fichiers ou voler des identifiants de connexion pour des sites web, y compris les services bancaires en ligne. ... sa commande et le contrôle (C & C) des serveurs sont accessibles uniquement depuis le réseau Tor en utilisant le protocole service caché (hidden service protocol). ... Claudio Guarnieri a publié un billet de blog sur le botnet Skynet. Il pense que ce dernier est le même que celui décrit par un opérateur de botnet qui s'est confessé dans un fil "IAMA" (I am a) sur Reddit, il y a sept mois. ... les chercheurs de Rapid7 estiment que la taille actuelle du réseau de zombies est de 12 000 à 15 000 ordinateurs infectés, jusqu'à 50% de plus que ce que son opérateur estimait il y a 7 mois. Le malware derrière ce botnet est distribué par Usenet ... Skynet a plusieurs composantes: un bot contrôlé par IRC qui permet de lancer plusieurs types d'attaques par déni de service et d'effectuer plusieurs autres actions, un client Tor pour Windows, une application d'exploration Bitcoin [Note: Bitcoin Miner] et une version du programme de cheval de Troie Zeus, qui est capable de s'accrocher dans les processus de navigation et de voler des identifiants de connexion pour des sites web...."
Un sale cas de détournement d'usage du réseau Tor qui normalement sert à anonymiser ses utilisateurs. Maintenant il vient apparemment de servir aussi à anonymiser les systèmes de commandes de certains botnets: "...This gains the botnet owner several advantages:
The server is anonymous and thus cannot point to the botnet owners’ identity.
The server cannot be taken down easily.
The traffic is encrypted by Tor, so it can’t be blocked by Intrusion Detection Systems.
Tor traffic usually cannot be blocked altogether, because there are also legit use cases for Tor.
The bot creator does not necessarily have to generate a custom protocol, but can use the known and reliable IRC protocol...."
Un botnet manipulé par un groupe qui se fait appelé Antileaks a attaqué les serveurs de Russian Today mais a aussi et surtout visé wikileaks.
La reponse des Anonymous ne s'est pas faite attendre sur le theme de: "you, antileaks are proud to be american, we Anonymous are proud to be human etc..". Vous Antileaks êtes fiers d'être américains, nous Anonymous sommes fiers d'être humains...
Ce groupe appelé antileaks se prétend non-gouvernemental mais a usé de moyens extraordinaires comme parait-il une puissance de (feu ;) ) de 10Gigaoctets/s...
Ore attaquer les ennemis sur le cyber-espace, c'est officiellement un projet du Pentagone appelé Plan X demande qui remonte à 2008 . Il semble que les botnets soient officiellement entrés dans l'arsenal de guerre des USA:
"The Pentagon has not been shy about its decision to attack enemies in cyberspace. It has turned to the private sector for help in building something called “Plan X,” an ambitious “new phase in the nation’s fledgling military operations in cyberspace,” according to the Washington Post
Back in 2008, the Pentagon’s Information Operations Roadmap [.PDF here!] designated the internet as an enemy “weapons system” and declared that the military must be ready to “fight the net.”
Col. Charles W. Williamson III, writing for the Armed Forces Journal, proposed denial-of-service attacks against official enemies. “The days of the fortress are gone, even in cyberspace. While America must harden itself in cyberspace, we cannot afford to let adversaries maneuver in that domain uncontested. The af.mil botnet brings the capability to help defeat an enemy attack or hit him before he hits our shores,” Williamson explains.
Il s'agit d'une histoire réelle (en anglais): Une adresse email sur Gmail volée à partir de la Russie probablement, un nom de domaine supprimé de son bureau d'enregistrement ( registrar ) d'origine pour être redirigé vers un bureau d'enregistrement en Russie...
Ou comment le vol de nom de domaine peut changer votre vie ....
Une attaque qui passionne les spécialistes de virus informatique
Très loin des scripts kiddies, il s'agit encore de guerre électronique par le biais de botnets, comme il en était déjà question avec le ver Stuxnet dont il avait [ déjà discuté ici!]
De façon classique, ce virus se transmet par courrier électronique dans un document Word infecté. Une fois l'ordinateur contaminé, les pirates peuvent prendre le contrôle de la machine à distance. Il aurait été créé par le même groupe à l'origine de Stuxnet [il possède des codes commun à Stuxnet, ce qui laisse présager d'une source commune] qui avait infecté une centrale nucléaire iranienne et aurait pour objectif de préparer des cyber-attaques contre des infrastructures cruciales (centrales électriques, raffineries de pétrole, etc.). [voir note *** plus bas] ... ... Microsoft avait publié un premier correctif, pour limiter les dégats de DuQu. Des ingénieurs de NSS Labs ont également publié un outil open source pour scanner sa machine et détecter le virus si celui-ci est présent. Le but de cet outil est également de découvrir d'autres éventuels fichiers utilisés par DuQu et qui n'auraient pas encore été repérés. ..."
Pratiquement le script de détection de NSS Labs est écrit en langage Python qui est disponible en open source à partir de Python.org. Pour que le script fonctionne sous Windows, il faut au préalable avoir installé ce langage et suivre les instructions données avec le script.
Si vous êtes débutant en informatique mais souhaitez néanmoins installer ou comprendre ce script python, je ne peux que vous conseillez de voir ces pythonneries sur YouTube
_____________________________________________
*** Notes:
Cette faille est une faille dite zero-day c'est à dire qui était inconnue jusqu'à présent.
L'analyse des polices True Types incorporées dans un document s'effectue à partie de la librairies système T2Embed.dll présente dans toutes les versions de Windows de Windows XP à Window server 2008.
Le correctif 2639658 se contente d'interdire l'accès à T2Embed.dll et ses services associés. Les possibilités qu'offraient cette dll qui fait partie de Windows sont donc désactivées temporairement jusqu'à l'arrivée d'un patch réel de Microsoft.
"...Selon l'entreprise de sécurité F-Secure, Duqu est un bot windows (et pas un ver), utilisé pour effectuer des attaques très ciblées contre un nombre limité d'organisations, dans un petit nombre de pays. ... ... Selon F-Secure, pas trop de raisons de s'inquiéter toutefois : en effet le document infecté n'est pas en circulation. Il est tellement ciblé que son transfert révélerait très certainement l'identité de la cible première, raison pour laquelle CrySyS Lab, qui a découvert Duqu, ne peut pas diffuser le document."
Pour rappel, un botnet est un réseau de machines qui ont subit une attaque informatique et qui se retrouvent sous le contrôle d'un pirate. Le pirate peut alors se servir de son botnet pour mener des attaques massives sur des cibles. Il doit malgré tout prendre soin que l'on ne puisse pas remonter à lui lorsqu'il tente de compromettre des machines pour accroître la taille de son botnet, et lorsqu'il envoie les ordres d'attaque.
Les botnets travaillant beaucoup par l'écoute des flux HTTP, l'idée est de rendre l'écoute par ceux -ci impossible en insérant du bruit dans la communication (principe mathématique validé en 2007) , un court échange en HTTPS entre le client et le server permet d'informer le client de "comment supprimer ce bruit" grâce à des codes de correction d'erreur.
L'insertion de bruit permet de se débarrasser de certains problèmes légaux amenés par le chiffrement puisque la communication n'est pas chiffrée mais bruitée et que la méthode de nettoyage du bruit est passée via HTTPS qui est autorisé. Cela n'empêche pas que la communication soit rendue "illisible" et d'autre part cela permet en utilisant uniquement des codes de correction d'erreur de "débruiter" très rapidement ce qui permet de mettre cela en œuvre pour des flux audio, vidéo ou autres.
Un module client de "débruitage" existe pour Firefox. Évidemment le client ne suffit pas ;-) il faut mettre en œuvre la communication bruitée sur le serveur puis gérer l'échange avec le client.
Ci-dessous le résumé de cette technologie qui montre tout son intérêt: "PERSEUS est une technologie destinée à protéger les flux de toutes natures contre l'écoute abusive ou illégale et ainsi assurer, avec un un excellent niveau de sécurité, interdisant sauf à y consacrer des moyens très importants (plusieurs dizaines d'heures de supercalculateur) d'accéder aux données échangées. Cela permet de concilier les besoins et droits fondamentaux des utilisateurs en matière de vie privée et de confidentialité des données tout en maintenant la capacité opérationnelle des états contre les acteurs véritablement malfaisants (terroristes, pédophiles...) qui eux, utilisent de la cryptographie.
La technologie PERSEUS peut être utile dans de nombreux cas : # Protection contre l'activité d'espionnage de codes malveillants à grande échelle (ex. botnets qui pour éviter la détection préférent écouter sur les ports non standards plutôt que de hooker des ressources surveillées par les antivirus, enfin ceux qui le font réellement). # Protection contre les écoutes privées de type officine plus ou moins légale à des fins plus ou moins acceptables (études de consommation, intelligence économique, écoutes non administratives...). # Communications à partir de pays "non démocratiques" vers des pays démocratiques (journalistes par exemple); # Communications professionnelles discrètes dans des pays où le contrôle de la cryptographie est fort (VRP communiquant avec sa maison mère en i France par exemple). L'intérêt de la technologie PERSEUS est qu'elle fournit également une securité partielle de type TRANSEC (dissimulation du canal). Autrement dit un flux protégé par PERSEUS ressemble à un grand nombre de flux existants et anodins. De plus son profil statistique change régulièrement.
La technologie PERSEUS a été developpée par Eric Filiol et Eddy Deligne a implémenté la première application au flux HTTP sous la forme d'un module libre Firefox. La technologie PERSEUS est open source sous triple licence GPL/LGPL/MPL."
L'ensemble de la solution est expliqué sur le site de ESIEA RECHERCHE
Les alliés européens veulent se protéger contre des attaques comme celle qui a paralysé les sites Internet des banques et des ministères estoniens en 2007. Mais ils ne sont pas convaincus par le modèle américain de “frappes informatiques préventives” contre des pays ou des organisations hostiles.»
En toile de fond de ce débat, la suspicion qui plane autour des Etats-Unis, considérés par certains comme un auteur potentiel du ver informatique Stuxnet, qui a récemment visé l’infrastructure iranienne. Mais on n'en sait encore que très peu sur cette attaque, comme l'écrivait Olivier Tesquet sur Slate.
Stuxnet Un ver impressionnant capable de prendre les commandes de systèmes vitaux Il serait temps de s'inquiéter ....
Stuxnet n'est pas seulement impressionnant par ses cibles industrielles et/ou militaires, mais par le fait que pour les atteindre, il utilise 4 vulnérabilités inconnues jusqu'alors et ce dans des domaines différents. Sa sophistication laisse à penser que sa source ne devrait pas être autre qu'une agence d'état...
"Le code Stuxnet contiendrait ainsi un marqueur caché constitué de la suite de chiffres "19790509". Les chercheurs Nicolas Falliere, Liam O Murchú et Eric Chen pensent que cette suite agit comme un indicateur informant Stuxnet de ne pas infecter le PC ciblé dans le cas où il serait en présence d'un marqueur identique. ...
ils ont émis l'hypothèse que le marqueur pourrait correspondre au 9 mai 1979 date à laquelle Habib Elghanian, un éminent homme d'affaires juif iranien, accusé d'espionnage au profit d'Israël par le tout nouveau gouvernement révolutionnaire iranien, a été passé par les armes à Téhéran par un peloton d'exécution: ...Qualifié de malware parmi les plus sophistiqués jamais réalisé, par Liam O Murchú et d'autres,
Stuxnet vise les PC sous Windows chargés de superviser des systèmes d'acquisition et de contrôle des données appelés SCADA, lesquels gèrent et surveillent à peu près tout type d'installations, depuis les centrales électriques et les machines des usines jusqu'aux oléoducs et aux installations militaires.
Un ver sophistiqué... Trop sophistiqué
L'architecture complexe du ver et la nature de sa cible ont conduit certains à conclure que Stuxnet avait été conçu par un groupe de pirates avec le soutien d'un État. Les infections massives constatées dans les infrastructures iraniennes ont laissé entendre que le ver visait peut-être les installations nucléaires de ce pays.
Le week-end dernier, les autorités iraniennes ont confirmé que des dizaines de milliers de PC avaient été infectés par Stuxnet, dont certains utilisés dans une centrale nucléaire située dans le sud-ouest de l'Iran, et qui devait entrer en service le mois prochain...."
Noter que 60% des PC infectés sont en Iran et que le code de Stuxnet s'arrête de fonctionner de lui-même après le 24 juin 2012.
Noter aussi que les systèmes SCADA si employés dans l'industrie semblerait évidemment être un cible de choix en temps de guerre et qu'il serait temps de penser à la sécurisation de tels systèmes.
Noter enfin que StuxNet est peut-être à l'origine de la perte de contrôle du satellite indien Insat4B en juillet 2010 à cause de l'utilisation de contrôleurs Siemens S7-400 PLC et SIMATIC WinCC qui tout deux activent Stuxnet Un peu plus d'infos
a Windows rootkit to hide its Windows binary components,
and it signed its files with certificates stolen from other unrelated third-party companies.
All of these characteristics are noteworthy in their own right, however when they all converge within one threat it is clear that there is a special force at work.
Any threat that is capable of taking control of a real-life physical system is worthy of a closer look, and here we present our analysis of such a threat...."
---------------------------
Stuxnet virus targets only two models of the Siemens Programmable Logic Controllers with the following series numbers: S7 300 S7 400
The malware actually resides on a PC and then injects rootkit code into the PLC. The code will not infect the PLC unless it finds a specific network card, the series number CP 342-5
The Stuxnet virus uses a modified “Man in the Application” attack that intercepts the commands from a user HMI and executes them late or not at all.
The key to the virus comes in via a computer SCADA system, and infects the PLC. Both the PLC and computer systems need to be cleaned to make sure a re contamination does not occur.
If you have the above controller series and network card, it is time to upgrade the controller and change the network card to something other than the one listed to be on the safe side.
"Le marché des cartes piratées a son argus. Le centre antifraude RSA vient d’en publier quelques prix : il faut compter entre 38 et 765 dollars pour obtenir les données d’accès à un compte bancaire. ... Selon les tarifs relevés par RSA, il faut compter entre 1,15 et 2,30 euros pour obtenir les informations d'une carte bancaire volée. Pour ce prix, le pirate fournit le numéro d'identification à 16 chiffres, le cryptogramme à 3 chiffres qui figure au dos de la carte, sa date d'expiration ainsi que l'adresse et le nom de son véritable propriétaire. Avec ces informations, il est alors facile de réaliser un achat sur presque n'importe quel site" ... "Pour obtenir les coordonnées d'un compte bancaire (login et mot de passe), les tarifs sont plus élevés : de 38 à 765 dollars. La différence de prix s'explique par le type de compte et le solde qui y figure. Une fois ces informations en leur possession, les pirates s'en servent pour effectuer des virements sur leurs propres comptes bancaires, lorsque les sites des établissements financiers autorisent les virements vers des comptes tiers.
Ce marché de l'underground propose aussi des solutions clé en main pour mener des attaques sur des sites ou infecter des PC. On peut ainsi acquérir pour environ 765 dollars un kit de base pour répandre un cheval de Troie spécialisé dans l'interception de données bancaires. ... Le foyer de ces attaques se trouve à une très large majorité aux Etats-Unis (61 % en proviennent) alors que la France ne représente que 3 %, un niveau partagé par le Brésil et la Russie.
Et elles ciblent principalement les Etats-Unis, à 47 %.
La France ne fait pas partie du top 10 des pays visés, établi dans ce rapport. ..."
une explication à lire en anglais sur le site de Symantec :On y comprendra que Symantec est tombé sur un site possédant une base de données de 44 millions de comptes (login / password) de sites de jeux en ligne, base de données possédant par exemple plus de 200000 comptes d'accès à World of Warcraft.
Il semble extrêmement probable que ces données aient été récoltées par un botnet travaillant sur des millions de machines piratées par un/des cheval/chevaux de Troie volant les identifiants des comptes du genre de celui-ci (lien chez Symantec ) mais plus récent évidemment.
Le cheval de Troie informatique ZBot alias ZeuS est de plus en plus distribué via un BotNet nommé Avalanche. Il semblerait que deux groupes de criminels informatiques collaborent entre eux.
Il semblerait aussi que, dans les nouvelles versions de ZeuS utilisés pour la fraude bancaire, les cybercriminels puissent faire du vol direct en transmettant en temps réel des informations bancaires par le biais d'une messagerie instantanée Jabber modifiée. Cela probablement pour court-circuiter la mise en place de systèmes de défense à base de captchas.
Les Botnets, réseaux de machines infectées par des chevaux de Troie commandés à distance, sont la cause d'un grand nombre de problèmes de sécurité sur Internet.
Un Botnet particulièrement sophistiqué et insidieux est Torpig (Wikipedia English) , un malware conçu pour collecter les renseignements sensibles de ses victimes comme ceux sur les comptes bancaires et les cartes de crédit. Torpig peut faire varier son comportement en fonction de la demande de ses "clients" ( mafieux, agence de renseignements etc)
Dans ce papier (PDF) publié en novembre 2009 , des chercheurs de l' Université de Californie de Santa Barbara montrent leurs efforts pour prendre le contrôle du botnet Torpig et ainsi étudier les opérations menées par Torpig pendant une période de 10 jours, cela tout en ne renvoyant aucune donnée au BotMaster
Pendant cette période, ils ont observé plus de 180 000 infections et ont enregistré presque 70 gigaoctets de données collectés par les malwares de Torpig.
Quoique d'autres botnets aient été "piratés" et étudiés auparavant, Torpig expose certaines propriétés qui rendent l'analyse de ses données particulièrement intéressantes:
Tout d'abord, il est possible (avec une précision raisonnable ) d'identifier des infections uniques dues au botnet et de rattacher celui-ci à plus de 1,2 millions d'adresses IP infectées contactant le serveur de contrôle et de commande des chercheurs.Après analyse ces 1,2 millions d'IP correspondaient à environ 180.000 machines uniques infectées.
Deuxièmement, Torpig botnet ratisse large, vise une grande variété d'applications et collecte un riche ensemble de données diverses sur les victimes infectées. L'analyse de ces données permet une meilleure compréhension de la quantité de renseignements personnels volés par les botnets.
Par exemple:
les machines infectés collectaient tous les messages qui passaient. Environ 10 % des messages parlaient de sécurité en étant envoyé par des utilisateurs qui pensait que leur machine était "maintenant" saine.
Le botnet dérouté par les chercheurs pendant dix jours a pu récolter:
415.206 comptes de messagerie entrantPOP
100.472 comptes de messagerie sortant SMTP
54.090 comptes de messageries (hors POP/SMTP)
1.258.862 messages de courrier
11.966,532 données issues de formulaires :
411.039 comptes HTTP
12.307 comptes FTP
1.235,122 mots de passe Windows
8310 comptes (credentials) de 410 institutions financières différentes dont 38% via les gestionnaire de mots de passe des navigateurs des machines infectées.
1660 numéros de Cartes de crédits
Pendant ces dix jours d'analyse, les bots de Torpig ont volés 297.962 identifiants uniques (credential c'est à dire utilisateur + mot de passe ) renvoyés par 52.540 machines. Environ 60.000 machines étaient connectées au botnet à n'importe quel instant.
L'analyse des chercheurs a montrée qu'environ 28% des victimes réutilisaient leurs identifiants (credentials) pour accéder à 368.501 sites web.
__________________________________
Techniquement Torpig est très sophistiqué et réalisé par des professionnels de l'informatique:
chaque machine infectée peut être source d'information (en envoyant les données propres à la machine), proxy ou serveur ( de contrôle ou de commande ou bien utilitaire (ex: phishing)).
toutes les données récoltées sont chiffrées
le botnet peut être mis à jour afin de modifier son comportement
L'algorithme pour calculer les noms de domaine des machines où trouver les prochaines commandes est dynamique.
Idem pour les machines serveurs sur lesquelles sont générées en dynamique des pages web de phishing. Ces pages web de phishing servent à collecter des informations financières et sont indétectables puisqu'une fois le fishing effectué, la machine infectée retrouve son état normal et que le serveur web de phishing peut disparaître en tant que tel.
Plus de 95% des machines étaient potentiellement utilisables pour faire du SPAM et non référencées pas la liste noire de Spamhaus
20% des machines infectées étaient utilisables en tant que serveur.
Le cheval de Troie ne prend qu'une partie de la bande passante réseau de la machine infectée afin de ne pas étouffer celle-ci et la puissance cumulée de Torpig pour 60.000 machines correspond à 17 Giga-octets/s de bande passante ce qui permet n'importe quelle attaque réseau du type déni de service distribué
Le code déchiffré par les chercheurs était évolutif, commenté, modulaire et réutilisable. Les professionnels apprécieront...
Définition courante d'un botnet : un botnet est un réseau d'ordinateurs commandés à distance de manière simultanée par un chef que l'on appellera dorénavant le botmaster.
Les principaux botmasters du moment sont probablement mafieux, militaires ou membres d'agence de renseignements et ont pris la main sur les PCs à l'insu de leur propriétaire grâce à des vers/virus/spyware informatiques.
Je laisse au passé la définition originelle de botnet qui avait été créé à partir de robot IRC sur les réseaux IRC car le principe est sorti hélas de ce cadre. Les derniers botnets utilisent toutes sortes de moyens autres qu'IRC pour se fédérer en réseau par exemple MSN messenger
Voila une vidéo en anglais de Symantec destinée à avertir le public et à lui faire peur à juste raison.
Les solutions contre les botnets sont les même que pour les virus : une machine mise à jour, un couple antivirus/firewall performant ainsi qu'un changement de mot de passe régulier, les botnets ayant souvent la fâcheuse habitude de les récolter. Voila un petit texte extrait de Is Your PC Part of a Botnet? - ReadWriteWeb que je vais vous traduire :
According to a report today (2009/15/03) from The Associated Press, Internet security company Prevx recently discovered a Web site that was being used as a storage facility for data stolen from 160K infected computers, and the discovery offers an interesting case study.
Selon un rapport reçu le dimanche 15 mars 2009 de l'Associated Press , la société de sécurité Prevx a récemment découvert à site web qui était utilisé comme zone de stockage pour des données volée à 160000 ordinateurs infectés. Cette découverte est un cas intéressant.
The storage site was hosted in the Ukraine and its contents showed that the botnet was harvesting data. Information found included passwords, social security numbers, credit card numbers, addresses, telephone numbers and other personal information; quite a treasure chest if you're into identity theft....
Le site de stockage était localisé en Ukraine et son contenu montrait que le botnet récoltait des données. Les informations trouvées incluaient mots de passe, numéros de sécurité sociale, numéros de cartes de crédit, adresses, numéros de téléphone et autres informations personnelle. Bref un trésor si vous êtes un voleur d'identité...
Dans ce même article, on découvre que les sessions étaient enregistrées ce qui laisse supposer que les protections et astuces offertes par les banques pour protéger les comptes ne servent pas à grand-chose puisque l'espion est DANS l'ordinateur.
Je précise que PrevX cité plus haut est le fournisseur d'un excellent antivirus payant et permet aussi de vérifier son PC via l'utilisation de son scanner gratuit Prevx CSI(tout ceux qui regardent Les Experts apprécieront le nom).
Les botnets sont-ils importants ? Pourquoi faut-il s'en préoccuper ?
Oui ils sont très importants car ils peuvent servir à plusieurs choses. Sans être exhaustif sur le sujet car le futur répondra mieux à la question, voici par exemple :
Collecter l'information contenue dans les ordinateurs zombies sur lesquels il est installé. Il s'agit du cas cité dans l'article précédent. Cela peut être au bénéfice d'une mafia comme d'une dictature. John Kenneth Schiefer est un exemple de pirate mafieux sous les verrous pour quatre ans , il avait 26 ans quand il s'est fait pincé, il risquait une peine maximale d'une soixantaine d'année.
Concentrer la puissance réseau des zombies pour éteindre n'importe quel site web par saturation réseau. Il s'agit là d'une arme de guerre qui peut être au bénéfice d'un lobby, d'une armée. C'est une attaque classique de type Denial of Service( DoS = impossibilité de service sur la machine attaquée)
permettre l'accès au réseau de la machine zombie. Si il y a suffisement de machines infectées, le botmaster peut pratiquement agir à partir de n'importe quel réseau
avoir une puissance de calcul énorme en parallélisant des centaines de milliers de machines sur un problème que seul les supercalculateurs peuvent résoudre. Cela peut intéresser les mafias comme les états pour casser des clés de chiffrement de sécurité (code d'accès). Cela peut aussi intéresser des entreprises qui ne peuvent s'offrir des supercalculateurs
avoir une puissance réseau énorme. Cela sert à tout et en particulier à faire du SPAM comme le montrait cet exemple fabriqué par la BBC (voir [aussi ici !]) qui est le cas le plus courant de la rencontre du grand public avec les botnets. Il est à noter que depuis que la BBC a utilisé un botnet (d'origine évidemment mafieuse) pour sa démonstration, la société de sécurité Sophos a dénoncé cette action comme hors-la-loi alors que la BBC a (1) avertit le public, (2) prévenu les propriétaires des machines zombies infectées en plaçant un message comme quoi leur PC avait été victime d'un virus.On peut parait-il acheter de la bande passante réseau obtenue à partir de la fédération des réseaux esclaves des botnet sur le Web. En clair ils revendent la bande passante qu'ils ont volé. Les mafias sont créatives...
Y-a-t-il eu des botnets qui servent à faire le bien ?
En principe non. Les botnets sont la partie sombre et cachée d'un type de réseau qui sert habituellement à faire le bien et qui fonctionne globalement suivant le même principe. Ce type de réseau s'appelle Grid en anglais, grille informatique en français et est formé à partir de réseaux de machines faiblement couplées et massivement distribuées.
Si vous ne comprenez pas ces derniers termes, cela signifie globalement la même architecture que pour un botnet sauf que les propriétaires sont au courant de ce à quoi leur machine sert . C'est donc officiel, souvent organisé par des scientifiques et en principe sans partie sombre. L'utilisation des Grids militaires n'est pas nécessairement transparente...
Plutôt que laisser inoccupé son ordinateur allumé, on peut décider de prêter sa machine à des causes nobles: La recherche des extraterrestres pilotée à partir de l'Université de Berkeley appelé SETI@home est un exemple connu de ce genre de travail que l'on peut confier en tâche de fond à son ordinateur.
Il y a beaucoup d'autres projets que votre ordinateur pourra servir lorsqu'il s'ennuiera à vos côté et que vous ne l'utilisez pas - la recherche sur le cancer à besoin de vous - votre ordinateur deviendra alors un petit élément d'un gigantesque "grid computer" scientifique.
On peut aussi participer à la chasse au botnet: il y a un piège à virus appelé Honeynet destiné à l'étude des botnets. C'est grace à ce genre de projet animés par des fabricants d'antivirus et des spécialistes de la sécurité que l'on peut surveiller les bots comme on le voit dans la video qui suit où l'on percoit la"respiration" d'un botnet.
Y-a-t-il d'autres architectures du type BotNet ?
Sûrement ! et les plus puissantes sont sûrement à inventer. Pour s'en convaincre il suffit de se plonger un peu dans la recherche sur les systèmes massivement distribués comme par exemple chez [IBM ici!].
C'est la guerre sur Internet ?
La guerre se porte partout et en particulier sur les moyens quels qu'ils soient. L'ordinateur avec Internet est LE moyen du 21ème siècle : on en est totalement dépendant comme nous sommes devenus dépendant d'autres technologies précédemment: de l'agriculture en passant par la voiture jusqu'au téléphone portable.
La présence de l'ordinateur comme média d'accès peut faire peur et doit faire peur à cause de cette dépendance dont nous sommes sujet. C'est la raison d'être en France de la CNIL
Par exemple la loi discutée en France actuellement appelée Création et Internet peut faire peur car il est débattu de peut-être laisser rentrer un espion chez soi au nom d'un contrôle généralisé sur le piratage et cela sans contrôle judiciaire. Cette simple disposition peut, si l'on n'y prend pas garde, donner à l'État (voire à d'autres) le rôle de botmaster des ordinateurs contrôlés. Cela éveille naturellement des inquiétudes comme on peut le lire dans ce blog. Parce qu'évidemment on ne voudrait pas que l'État devienne un État Big Brother en étant Botmaster d'un botnet qui s'appellerait France. Notez bien que nous n'en sommes pas encore là (voir l'appel de candidatures) et que cette loi en fait rire pour le moment plus d'un [comme ici !] - Merci pour ce lien Seb !
Une belle démonstration en vidéo de ce à quoi peuvent servir les spywares (logiciels espions) qui s'installent à notre insu sur nos ordinateurs.
Dans l'exemple de la BBC ci-dessous cela sert à des spammeurs à faire des envois de courriers massifs . Spammeurs qui utilisent alors des techniques mafieuses : En l'occurrence la manipulation à distance des PCs de pauvres individus qui ne sont même pas au courant de l'utilisation qui est faite de ceux-ci. On appelle les PCs utilisé ainsi à l'insu de leur propriétaire des PCs Zombies.
Peut-être que votre PC est un PC Zombi mais que vous n'êtes pas au courant ? Avez-vous confiance dans votre antivirus/antispyware ?
En masse ces PC Zombies forment des colonies appelés botnet (réseau de PCs robots) que l'on peut manipuler lorsqu'on est aux commandes. On est très loin des premiers virus...
Voila la démonstation faite par la BBC trouvée via Numérama: "Dans le cadre de son émission Click online sur les nouvelles technologies, la chaîne a loué un réseau botnet de 22.000 ordinateurs infectés par un vers contrôlé à distance.
L'objectif était de montrer la facilité avec laquelle des campagnes de spams et des attaques informatiques pouvaient être lancées depuis des dizaines de milliers d'ordinateurs d'individus totalement ignorants du problème (voir vidéo ci-dessous)."
Vous avez Windows, faites toujours vos mises à jour. Ayez votre antivirus et ne laissez pas votre ordinateur sur Internet sans un firewall effectif.
Vous ne pouvez plus faire vos mises à jour ? Si vous ne le pouvez plus, c'est que, peut-être, un virus a désactivé cette possibilité. C'est ce que fait typiquement ConFicker.
Ce virus passe ensuite discrètement de machine en machines par le biais des clefs USB et des partages réseaux.
Ce virus s'est suffisement étendu pour qu'on en parle dans des journaux comme Le Point [ici !] .
Les adresses avec lesquelles le virus veut communiquer pour recevoir ses ordres changent tout le temps mais les centres antivirus collectent ces adresses. Une solution pour le détecter à partir de l'administration d'un réseau d'entreprise a donc été proposée par le service OpenDNS qui propose de se servir de leur système de DNS comme d'un firewall géant en interdisant les communications vers les sites avec lesquels le virus veut communiquer tout en avertissant les administrateurs des machines infectées.
Ryan Sherstobitoff chez Panda a écrit en anglais un article à lire sur le "Crimeware ecosystem" qui peut expliquer l'existence d'un tel virus. Nous sommes loin des virus écrits pas les script kiddies mais plutôt d'un genre de ceux qu'une mafia commanderait, argent à l'appui.
Développeurs et enseignants en informatique cela vous concerne particulièrement car c'est un sujet qui n'est pas encore assez enseigné, on parle de l'étude qui a aboutit à cette liste [là!] et la liste est elle-même au cwe.mitre.org/top25/ [ICI !]
De un million à 50 millions de machines infectées par les vers installant des rootkits permettant de récupérer la puissance machine à l'insue de leurs utilisateurs si l'on en croit l'article ci-dessous !
On est très loin des script kiddies enfermés dans leur chambres et faisant des virus isolés pour épater leur copains.
Dans quel but ? l'utilisation de ressources réseaux et machines massives. De toutes évidences le Spam, l'extinction de sites web génants ou même le "contrôle" tout azimut.
Big Brother est là mais peut-être pas de la manière que l'on pense....
On parle du Worm Storm et du Storm Botnet (son réseau associé) sur wikipédia en anglais
