Les routeurs compromis deviennent un point de rencontre où cybercriminels et acteurs étatiques partagent un objectif commun : masquer leurs activités malveillantes et rendre leur détection difficile. Cette réalité a été mise en lumière après la découverte d’une botnet de routeurs Ubiquiti EdgeRouter opérant depuis 2016, jusqu’à ce que le FBI et d’autres partenaires internationaux interrompent ses opérations en janvier 2024.
Intérêts Communs entre États et Cybercriminels
Les routeurs compromis ne sont pas seulement utilisés par les cybercriminels pour se louer entre eux ou à des fournisseurs commerciaux de proxies résidentiels, mais ils sont également exploités par des groupes étatiques comme Pawn Storm, qui a accédé à la botnet pour son espionnage persistant. Parallèlement, Sandworm, un autre acteur étatique, a utilisé sa propre botnet de routeurs pour dissimuler ses mouvements.
L’Infraestructure de Proxy
La botnet EdgeRouter, qui a été partiellement démantelée par le FBI, était en fonction depuis au moins 2016, intégrant une combinaison de scripts bash, Python et d’autres programmes malveillants comme SSHDoor, qui permettaient aux attaquants d’obtenir des identifiants de connexion légitimes et de maintenir un accès persistant. De plus, la botnet comprenait des Raspberry Pi, des dispositifs Linux et des serveurs privés virtuels (VPS), qui étaient utilisés pour miner des cryptomonnaies comme Monero.
Disruption et Réorganisation
Après l’intervention du FBI, l’opérateur de la botnet a migré certains des dispositifs compromis vers une nouvelle infrastructure, permettant ainsi la continuité de ses activités. Cela démontre que, malgré les opérations des forces de sécurité, les cybercriminels trouvent des moyens de s’adapter et de maintenir leur accès à ces réseaux.
Superposition de Menaces
En plus de Pawn Storm, un autre groupe significatif, connu sous le nom de Ngioweb, est également présent sur certains des mêmes routeurs, utilisant des techniques avancées pour opérer en mémoire et éviter de laisser des fichiers malveillants sur le disque. Cette superposition de menaces met en évidence l’intérêt croissant de plusieurs acteurs à exploiter des routeurs et serveurs compromis pour cacher leur activité.
Recommandations pour Protéger les Routeurs
Pour atténuer le risque de faire partie d’un réseau compromis, il est conseillé aux administrateurs réseau :
- De s’assurer que les routeurs ne sont pas exposés à des connexions entrantes d’internet à moins que cela soit absolument nécessaire.
- De vérifier s’il existe des identifiants par défaut et de les changer pour des mots de passe sécurisés.
- D’identifier s’il y a des ports ouverts inutiles ou des configurations suspectes sur le routeur.
- D’effectuer des scans de malware sur les dispositifs pour détecter une activité anormale.
La cyber-guerre a atteint les réseaux domestiques et corporatifs à travers des routeurs compromis, il est donc essentiel d’implémenter des pratiques de sécurité pour éviter de faire partie d’une botnet, utilisée par un cybercriminel ou un acteur étatique.
Source et pour en savoir plus, rendez-vous sur Trend Micro
