Qu’est-ce qu’un botnet ? Comment des hôtes compromis transforment votre espace IP en infrastructure d’attaque

Un botnet est un réseau d’ordinateurs ou d’appareils compromis exécutant un logiciel malveillant qui permet à un seul opérateur de les contrôler tous à distance. Chaque machine infectée est appelée un « bot », la personne qui les contrôle est appelée le « bot herder », et le canal par lequel les commandes sont envoyées est appelé command and control (C2). Ensemble, ils forment une plateforme distribuée qui peut être dirigée vers n’importe quelle cible choisie par l’opérateur.

Les botnets sont généralement décrits du point de vue de la cible : le site mis hors ligne, les comptes vidés, la boîte de réception saturée. Mais chaque botnet fait aussi une seconde victime, et c’est à elle que cet article s’adresse : l’opérateur dont l’espace d’adressage héberge les bots. Lorsque des machines utilisant vos adresses IP sont compromises, l’attaquant ne se contente pas d’exploiter la puissance de calcul de quelqu’un d’autre. Il utilise également votre réputation IP pour mener ses opérations. Le spam, les scans et le trafic d’attaque proviennent de vos adresses, sont attribués à vos adresses et génèrent des inscriptions sur des listes de blocage ainsi que des rapports d’abus qui peuvent continuer à affecter vos adresses longtemps après que le logiciel malveillant a été supprimé de la machine.

Cette asymétrie explique pourquoi les botnets méritent l’attention de toute personne responsable d’un espace IPv4 public, et pas uniquement des équipes de sécurité. Cet article explique ce qu’est un botnet et comment il fonctionne, pourquoi il dégrade la réputation d’une plage entière plutôt que d’une seule adresse, pourquoi le trafic de botnet est particulièrement difficile à attribuer, comment reconnaître les hôtes compromis dans votre propre espace d’adressage et comment les responsabilités se répartissent lorsque cet espace est loué.

Qu’est-ce qu’un botnet?

Un botnet est un ensemble de machines connectées à Internet et infectées par un logiciel malveillant qui les place sous le contrôle à distance coordonné d’un seul opérateur. Du point de vue de leurs propriétaires, les machines continuent généralement de fonctionner normalement, ce qui correspond précisément à l’objectif recherché : un bot qui se fait remarquer est rapidement détecté et nettoyé. Trois termes permettent de comprendre le concept :

• • Bot. Un appareil individuel compromis qui exécute le logiciel malveillant. Il peut s’agir d’un serveur, d’un ordinateur de bureau, d’un routeur, d’une caméra ou de tout autre appareil connecté disposant de capacités suffisantes pour être exploité.

• • Bot herder (ou bot master). L’opérateur qui contrôle l’ensemble du botnet et décide de ce qu’il doit faire.

• • Command and control (C2). Le canal de communication par lequel les instructions sont envoyées aux bots et les résultats sont renvoyés. Le C2 est ce qui transforme un ensemble dispersé d’infections indépendantes en un système coordonné — sans lui, il ne s’agirait que de machines compromises individuellement.

L’échelle peut varier considérablement. Certains botnets ne regroupent que quelques centaines de machines, tandis que des cas documentés ont atteint plusieurs centaines de milliers de machines, voire davantage. Ce qui les rend dangereux n’est pas la capacité d’un bot individuel, mais leur puissance cumulée : des milliers de machines dispersées géographiquement, réparties sur des milliers de réseaux différents, agissant de manière coordonnée.

Comment fonctionnent les botnets

Un botnet fonctionne en trois étapes : l’infection, le contrôle et l’action coordonnée.

1. 1. Infection. Un logiciel malveillant atteint un appareil et s’y installe, généralement de manière à persister discrètement après les redémarrages et à éviter de produire des symptômes que le propriétaire pourrait remarquer. Les logiciels malveillants modernes utilisés dans les botnets installent souvent des composants supplémentaires au fil du temps plutôt que d’arriver sous la forme d’un package complet dès le départ.
   2. Contrôle. La machine infectée contacte une infrastructure de command and control afin de s’enregistrer et d’attendre des instructions. Ce comportement de connexion régulière — des contacts répétés et structurés avec une infrastructure externe — constitue l’un des signaux de détection les plus fiables, puisqu’il s’agit d’une activité effectuée par la machine sans que son propriétaire l’ait demandée.
   3. Action coordonnée. L’opérateur envoie des instructions, et une partie ou la totalité des bots agissent simultanément : en dirigeant du trafic vers une cible, en envoyant du spam, en relayant des connexions, en scannant des plages d’adresses ou en collectant des données. Le même ensemble de bots peut être réaffecté à différentes activités selon les jours.

Une caractéristique structurelle est importante pour la suite de cet article : ce sont les bots qui exécutent les actions, de sorte que le trafic porte leurs adresses IP, et non celle de l’opérateur. Le bot herder peut se trouver n’importe où ; ce que les cibles et les systèmes de réputation voient, c’est l’adresse d’une machine compromise située sur le réseau légitime de quelqu’un d’autre. C’est précisément l’objectif de cette architecture, et c’est pourquoi l’opérateur dont l’espace d’adressage héberge le bot en subit les conséquences.

Comment les appareils sont-ils recrutés dans un botnet ?

Les appareils rejoignent les botnets en exploitant les mêmes faiblesses que celles à l’origine de toute compromission ; connaître les voies d’infection les plus courantes est ce qui rend la prévention réellement applicable. Les principales, présentées ici à un niveau de sensibilisation, sont les suivantes :

• • Vulnérabilités non corrigées. Exploitation de failles connues dans les systèmes d’exploitation, les applications et les services exposés au réseau. Les systèmes mal entretenus sont surreprésentés dans les botnets pour une raison évidente.

• • Identifiants faibles ou par défaut sur des services exposés. Les tentatives automatisées visant les interfaces de connexion accessibles depuis Internet — SSH, RDP, panneaux d’administration et services similaires — réussissent régulièrement lorsque les identifiants sont faibles, réutilisés ou laissés à leurs valeurs par défaut.

• • Phishing et pièces jointes malveillantes. La voie classique visant directement l’utilisateur, qui permet de diffuser des logiciels malveillants via des liens et des fichiers transmis par e-mail.

• • Drive-by downloads. Installation de logiciels malveillants via des sites Web compromis ou malveillants, sans action volontaire de la part de l’utilisateur.

• • Appareils IoT et embarqués utilisant leurs paramètres par défaut. Les caméras, routeurs et appareils similaires livrés avec des identifiants par défaut et rarement mis à jour sont devenus une importante source de recrutement pour les botnets, car ils sont nombreux, constamment connectés et rarement surveillés.

C’est également le bon endroit pour clarifier une confusion fréquente : les attaques par force brute et les botnets ne sont pas la même chose. Une attaque par force brute est une méthode qui consiste à essayer systématiquement des identifiants jusqu’à ce que l’un d’eux fonctionne. Un botnet est une infrastructure — un réseau de machines compromises. Les deux se croisent parce que les botnets sont souvent utilisés pour mener des attaques distribuées contre des identifiants, en répartissant les tentatives entre de nombreux bots afin qu’aucune source individuelle ne paraisse anormale, et parce que la découverte réussie d’identifiants constitue aussi l’un des moyens par lesquels des machines sont recrutées dans des botnets. Mais l’un n’a pas besoin de l’autre pour exister.

À quoi servent les botnets ?

Les botnets constituent une infrastructure d’attaque polyvalente, ce qui explique pourquoi un même réseau peut être loué pour des usages totalement différents. Les principales utilisations sont les suivantes :

• • Attaques DDoS. C’est l’utilisation la plus connue : des milliers de bots dirigent simultanément du trafic vers une même cible. Cette nature distribuée rend les attaques difficiles à filtrer selon leur source et influence directement les défenses décrites dans notre guide sur l’atténuation des attaques DDoS.

• • Distribution de spam. Envoi d’e-mails non sollicités depuis de nombreux hôtes compromis plutôt que depuis une infrastructure facilement identifiable — historiquement l’un des usages les plus importants en volume.

• • Vol d’identifiants et de données. Collecte de mots de passe, d’informations financières et d’autres données à partir de machines infectées.

• • Attaques distribuées contre les identifiants. Répartition des tentatives de connexion entre de nombreux bots afin que chaque source reste sous les seuils de détection.

• • Scan et reconnaissance. Analyse systématique de plages d’adresses afin d’identifier d’autres hôtes vulnérables — à la fois pour agrandir le botnet et pour constituer des listes de cibles.

• • Relais proxy. Utilisation d’hôtes compromis pour relayer le trafic de l’opérateur, dissimulant ainsi son origine réelle derrière l’adresse d’une machine légitime.

• • Fraude au clic et cryptominage. Monétisation de la capacité cumulée du botnet — soit en générant du trafic publicitaire frauduleux, soit en exploitant la puissance de calcul collective des appareils infectés à l’insu de leurs propriétaires.

Les botnets sont également commercialisés. Leur accès peut être loué à des tiers qui souhaitent disposer de capacités d’attaque sans avoir à construire leur propre infrastructure — un modèle de service qui réduit la barrière technique à l’entrée pour lancer des attaques et aide à expliquer pourquoi l’activité des botnets persiste comme une menace de fond constante au lieu de disparaître à mesure que les défenses s’améliorent.

Pourquoi les botnets nuisent-ils à votre réputation IP?

L’activité d’un botnet provenant de votre espace d’adressage est attribuée à votre espace d’adressage, et les dommages qui en résultent pour la réputation affectent généralement une plage entière, et pas seulement l’adresse individuelle compromise. C’est un coût qui retombe sur l’opérateur plutôt que sur la cible, et ses effets peuvent durer bien après la fin de l’infection.

Le mécanisme comporte trois éléments :

Premièrement, l’attribution suit l’adresse. Lorsqu’un bot envoie du spam ou attaque une cible, le destinataire voit une adresse IP source appartenant à votre espace. Les opérateurs de listes de blocage, les systèmes de réputation et les fournisseurs de messagerie enregistrent l’activité contre cette adresse, tandis que les rapports d’abus sont envoyés au abuse contact enregistré pour le bloc — un processus expliqué en détail dans notre guide sur les abus réseau et le traitement des rapports d’abus. Rien dans cette chaîne n’identifie directement l’opérateur réel ; c’est l’adresse qui est enregistrée.

Deuxièmement, les techniques d’évasion étendent les dommages à plusieurs plages d’adresses. Les opérateurs de botnets maintiennent volontairement l’activité de chaque hôte à un faible niveau afin de rester sous les seuils de détection — en envoyant un plus petit volume de spam depuis un plus grand nombre d’hôtes compromis, plutôt qu’un volume élevé depuis quelques machines. Les recherches sur les botnets diffusant du spam documentent précisément cette évolution : réduire le volume envoyé par chaque hôte compromis afin d’échapper aux systèmes anti-spam. Pour les opérateurs réseau, la conséquence est que les abus liés aux botnets ont tendance à toucher légèrement un grand nombre d’adresses plutôt qu’à affecter fortement une seule adresse. C’est ainsi qu’un seul incident de compromission peut dégrader la réputation de toute une plage d’adresses voisines — y compris de certaines qui n’ont jamais été compromises.

Troisièmement, la réputation se rétablit lentement. Nettoyer la machine infectée arrête l’émission de trafic malveillant, mais n’efface pas les enregistrements déjà créés. Les inscriptions sur les listes de blocage nécessitent généralement une procédure de retrait, les scores de réputation se reconstruisent progressivement et la délivrabilité des e-mails depuis les adresses concernées peut rester affectée longtemps après la remédiation — des mécanismes décrits dans notre guide sur la réputation des adresses IP.

En pratique, on peut résumer la situation ainsi : un hôte compromis représente un incident de sécurité qui peut se mesurer en heures, tandis que les dommages qu’il cause à la réputation peuvent se mesurer en semaines ou en mois, sur un actif dont dépendent tous les services que vous exploitez.

Pourquoi le trafic des botnets est-il difficile à attribuer ?

Plusieurs caractéristiques de l’adressage moderne rendent l’activité des botnets particulièrement difficile à relier à des machines précises, ce qui complique à la fois la défense et la gestion des contestations.

Changement dynamique des adresses. Les hôtes infectés utilisant des connexions grand public changent constamment d’adresse à mesure que les FAI les réattribuent. Une étude académique de référence consacrée au botnet Torpig a montré que cet effet était si marqué que les hôtes infectés apparaissaient avec une nouvelle adresse presque à chaque connexion. Un hôte a notamment été observé en train de changer d’adresse 694 fois en dix jours — et la même machine apparaissait dans différents sous-réseaux /16 au sein du même système autonome. La conséquence est que le comptage basé sur les adresses surestime fortement la taille réelle d’un botnet, et que « l’adresse qui s’est mal comportée hier » peut aujourd’hui appartenir à un abonné totalement différent.

Adresses partagées. Lorsque les opérateurs placent de nombreux abonnés derrière une seule adresse publique — selon le modèle CGNAT utilisé par la plupart des opérateurs mobiles et de nombreux fournisseurs haut débit — un seul appareil infecté peut entraîner le signalement de l’adresse partagée, affectant ainsi tous les utilisateurs légitimes qui se trouvent derrière elle. Depuis l’extérieur, il est impossible d’attribuer précisément l’activité à une machine particulière.

Dissimulation délibérée de l’origine. Les bots sont précisément utilisés comme relais afin que le trafic propre de l’opérateur semble provenir d’un hôte compromis. Par ailleurs, les attaquants peuvent également falsifier complètement les adresses source, comme expliqué dans notre guide sur l’IP spoofing. Dans ce cas, vos adresses peuvent apparaître dans du trafic d’attaque qui n’a en réalité jamais traversé votre réseau.

Pour un opérateur, cela signifie qu’être signalé ne constitue pas une preuve de compromission locale, et qu’être techniquement exempt de compromission ne garantit pas non plus d’être considéré comme innocent par un système de réputation. Dans les deux cas, des éléments de preuve sont nécessaires — c’est pourquoi la conservation des journaux et des enregistrements de trafic est aussi importante pour défendre votre espace d’adressage que pour enquêter sur un incident.

Signes indiquant que votre réseau héberge des machines compromises

Les hôtes compromis se révèlent par leur comportement sortant, et non par des signes nécessairement visibles directement sur la machine. Les signaux à surveiller sont les suivants :

• 
  
  • Volume de trafic sortant inexpliqué. Une activité sortante soutenue qui ne correspond pas à la fonction normale du système — en particulier sur des serveurs dont les schémas habituels sont prévisibles.

• • Volume d’e-mails inattendu. Du trafic SMTP sortant provenant d’hôtes qui ne devraient pas envoyer d’e-mails, ou une augmentation soudaine du volume sur ceux qui en envoient normalement.

• • Scan sortant. Vos adresses sondent de larges plages d’hôtes externes — un indicateur fort de compromission ou d’utilisation abusive.

• • Contacts répétés et structurés avec une infrastructure externe inconnue. Le comportement de connexion périodique associé aux communications C2 tend à être régulier et automatisé d’une manière qui ne ressemble pas au trafic ordinaire.

• • Rapports d’abus. Ils constituent souvent la première notification reçue par un opérateur, ce qui explique pourquoi un abuse contact fonctionnel et réellement surveillé est autant un mécanisme de détection qu’une obligation administrative.

• • Apparition sur des listes de blocage. Si vous découvrez que vos adresses sont répertoriées, en particulier sans cause évidente, il convient d’enquêter sur une éventuelle compromission plutôt que de supposer immédiatement qu’il s’agit d’une erreur.

• • Anomalies de ressources. Une charge CPU inexpliquée peut indiquer la présence de composants de cryptominage, qui font justement partie des charges malveillantes les plus faciles à détecter en raison de leur consommation de ressources.

Le point commun entre tous ces signaux est que la détection repose sur l’observation de ce qui quitte votre réseau. La surveillance du trafic entrant vous indique les tentatives dirigées contre vous ; la surveillance du trafic sortant vous indique si votre réseau est devenu une composante de l’opération de quelqu’un d’autre.

Botnets et IPv4 louées : une responsabilité partagée

La compromission par botnet est l’un des déclencheurs les plus fréquents, dans la réalité, du problème de coordination propre aux espaces d’adressage loués : les rapports arrivent au détenteur, tandis que seul l’utilisateur peut nettoyer la machine. Cette répartition est structurelle. Le locataire contrôle les systèmes, il est donc le seul à pouvoir isoler et remédier à un hôte infecté. L’abuse contact du détenteur est celui qui apparaît dans les registres, c’est donc lui qui reçoit les rapports — et c’est aussi la réputation de son bloc qui se dégrade tant que le problème n’est pas résolu. Aucune des deux parties ne peut mener seule l’ensemble du processus à son terme. En pratique, les responsabilités de chacun sont les suivantes :

• • Le locataire sécurise ses systèmes, surveille le trafic sortant, agit rapidement sur les rapports qui lui sont transmis et reconnaît que la réputation qui se dégrade est un actif partagé associé à des adresses qu’il continuera d’utiliser.

• • Le détenteur ou le bailleur maintient un abuse contact réellement surveillé, transmet les rapports rapidement et clairement, surveille la réputation de l’espace d’adressage et procède à une escalade lorsque la remédiation n’a pas lieu.

C’est pourquoi la gestion des abus et des compromissions doit figurer dans la liste des vérifications préalables à la location, au même titre que l’autorisation de routage et le DNS inversé. Les questions sont concrètes : qui reçoit les rapports d’abus, à quelle vitesse sont-ils transmis et par quel canal, qui est censé répondre, quelles sont les modalités d’escalade si l’abus se poursuit, et le bailleur aidera-t-il ensuite à obtenir le retrait des listes de blocage ? Un dispositif structuré — le standard qu’une plateforme de location IPv4 devrait respecter — définit ces éléments par écrit. Une organisation informelle peut laisser le locataire dans l’ignorance de rapports qu’il ne voit jamais, tandis que la réputation du bloc continue de se dégrader. La même rigueur s’applique lorsque vous choisissez d’acheter des adresses IPv4 : l’historique d’un bloc en matière d’abus liés aux botnets fait partie de la réputation dont vous héritez.

Comment empêcher vos systèmes de rejoindre un botnet ?

Les mesures qui permettent d’éviter qu’un système rejoigne un botnet ne sont ni spectaculaires ni nouvelles, mais elles sont bien établies :

• • Appliquer rapidement les correctifs. Les vulnérabilités connues mais non corrigées dans les services exposés à Internet figurent parmi les voies d’exploitation les plus régulièrement utilisées.

• • Éliminer les identifiants faibles et par défaut. Cela est particulièrement important pour tout système exposé à Internet, et encore davantage pour les appareils embarqués et IoT, sur lesquels les identifiants par défaut restent souvent inchangés après le déploiement.

• • Restreindre les interfaces de gestion exposées. SSH, RDP et les panneaux d’administration ne devraient pas être directement accessibles depuis l’ensemble d’Internet lorsqu’il est possible d’utiliser une allowlist, un VPN ou un bastion.

• • Filtrer les adresses source du trafic sortant. Veiller à ce que le trafic quittant votre réseau utilise uniquement les adresses que vous détenez légitimement empêche un hôte compromis d’émettre du trafic avec une adresse source falsifiée en votre nom.

• • Appliquer des limites de débit sortant. Limiter le volume d’e-mails sortants et le rythme des connexions permet de transformer une compromission potentiellement catastrophique en incident contenu, en plafonnant les dégâts qu’un bot peut causer avant d’être détecté.

• • Surveiller le trafic sortant. C’est l’une des pratiques les plus importantes, car elle permet de détecter une compromission avant même l’arrivée des rapports d’abus.

• Auditer les services exposés. Identifiez précisément ce qui est accessible depuis Internet dans votre espace d’adressage et fermez tout ce qui n’a pas besoin de l’être.

Liste de contrôle pratique

2. Surveillez le trafic sortant afin de détecter les anomalies de volume, les envois d’e-mails inattendus et les activités de scan provenant de votre espace d’adressage.
4. Maintenez les systèmes exposés à Internet à jour, avec un processus de correctifs défini plutôt que des mises à jour ponctuelles.
6. Éliminez les identifiants par défaut et les mots de passe faibles, en particulier sur les appareils exposés et embarqués.
8. Restreignez l’accès aux interfaces de gestion au lieu de les exposer directement à Internet.
10. Mettez en place un filtrage des adresses source du trafic sortant ainsi que des limites de débit sortant.
12. Maintenez un abuse contact réellement surveillé — il constitue souvent votre première notification en cas de compromission.
14. Surveillez la réputation de votre espace d’adressage, y compris les plages qui ne sont pas actuellement fortement utilisées.
16. Conservez des enregistrements de trafic suffisants pour déterminer ce qui a réellement — ou non — été émis depuis votre réseau.
18. Disposez d’un processus de réponse défini : isoler le système, effectuer la remédiation, identifier le point d’entrée, répondre aux rapports et demander le retrait des listes de blocage si nécessaire.
20. Pour les espaces loués, confirmez par écrit comment les rapports d’abus sont transmis et qui est responsable de leur traitement.
22. Après tout incident, vérifiez les adresses environnantes afin d’identifier d’éventuels impacts sur la réputation ou d’autres systèmes compromis.

Conclusion

Un botnet est un réseau de machines compromises placées sous le contrôle à distance d’un seul opérateur, coordonnées par une infrastructure de command and control (C2) et utilisées pour mener des attaques DDoS, envoyer du spam, voler des identifiants, effectuer des scans, relayer du trafic via des proxys, commettre des fraudes ou réaliser du cryptominage. L’accès à ces botnets est souvent loué à des tiers qui souhaitent disposer de capacités d’attaque sans avoir à construire leur propre infrastructure. Les appareils sont recrutés par l’exploitation de vulnérabilités non corrigées, d’identifiants faibles sur des services exposés, de campagnes de phishing, de drive-by downloads ou encore de paramètres par défaut non sécurisés sur des appareils IoT mal entretenus. Le logiciel malveillant est conçu pour persister discrètement, sans donner au propriétaire de signe évident de compromission.

Pour toute personne qui exploite un espace IPv4 public, le changement de perspective essentiel consiste à comprendre qu’un botnet fait deux victimes : la cible qu’il attaque et le réseau dont les adresses sont utilisées pour lancer l’attaque. Le trafic du botnet utilise vos adresses, de sorte que les conséquences s’accumulent sur leur réputation. Et comme les opérateurs répartissent volontairement l’activité sur de nombreux hôtes afin d’échapper à la détection, les dommages ont tendance à affecter des plages entières plutôt qu’une seule adresse. Parallèlement, les changements fréquents d’adresses dynamiques et les adresses publiques partagées par les opérateurs rendent l’attribution précise réellement difficile. Les mesures de défense en découlent directement : surveiller le trafic sortant, maintenir les systèmes exposés à jour et correctement protégés par des identifiants solides, filtrer et limiter le trafic quittant votre réseau, conserver un abuse contact réellement surveillé et réagir rapidement lorsqu’un incident se produit. En appliquant ces mesures, une compromission reste un incident ponctuel. En les négligeant, elle peut devenir un coût durable supporté par l’espace d’adressage dont dépendent tous vos services.

Foire aux questions