Comment les Pays-Bas ont traqué un botnet caché dans 17 millions d'appareils

L'opération a été menée conjointement par la police nationale néerlandaise (Politie) et le Centre national de cybersécurité (NCSC). Elle a conduit à la saisie d'une partie des serveurs qui constituaient l'infrastructure du réseau, tous hébergés aux Pays-Bas.

A lire aussi

• Comment des escrocs ont détourné des centaines de millions via des cartes Apple
• Android balaye l’un de ses bugs d’appel les plus agaçants avec une mise à jour

Un service de proxies résidentiels au cœur du dispositif

Selon le média néerlandais NL Times, le réseau démantelé est associé à Asocks, une plateforme commerciale qui propose des proxies résidentiels, mobiles et d'entreprise. Ses abonnements sont affichés entre 5 et 15 dollars par mois, avec des remises pour les achats en volume.

Les proxies résidentiels permettent de faire transiter du trafic internet via des appareils d'utilisateurs réels, ce qui leur confère une apparence légitime. Si certains usages sont légaux, ces services sont également détournés par des acteurs malveillants pour masquer l'origine d'attaques ou contourner des restrictions géographiques à des fins criminelles.

En avril 2024, l'équipe Satori de la société HUMAN avait déjà identifié une campagne baptisée PROXYLIB. Celle-ci impliquait des appareils Android infectés via des applications intégrant des composants de proxyware liés à LumiApps et Asocks.

Plus de 200 serveurs saisis aux Pays-Bas

L'infrastructure du botnet reposait sur plus de 200 serveurs localisés aux Pays-Bas. Les enquêteurs ont procédé à la saisie d'une partie de ces machines auprès d'un hébergeur local. Ce dernier a ensuite mis hors ligne l'ensemble du service après avoir constaté son usage à des fins criminelles.

Le NCSC a précisé que les appareils rejoignent ce type de réseau lorsque des attaquants parviennent à y accéder puis y installent un logiciel malveillant permettant un contrôle à distance. L'appareil compromis devient alors un relais exploitable pour des activités cybercriminelles, souvent à l'insu de son propriétaire.

Comment se protéger contre ce type d'infection

Le NCSC a publié plusieurs recommandations à destination du grand public et des entreprises pour limiter le risque d'intégration involontaire à un botnet.

Parmi les mesures préconisées figurent la mise à jour régulière des systèmes d'exploitation, l'utilisation de mots de passe robustes, l'activation de l'authentification à deux facteurs et la sécurisation des réseaux Wi-Fi via les protocoles WPA2 ou WPA3. Il est également conseillé de modifier les mots de passe par défaut des équipements connectés et de ne télécharger des applications qu'à partir de sources fiables.

Cette opération illustre la difficulté croissante à distinguer les usages légitimes des proxies résidentiels de leur détournement criminel, un enjeu qui préoccupe les autorités de cybersécurité à l'échelle européenne.

Source : Thehackernews