Les cybercriminels cachent le trafic Web malveillant à la vue de tous

Pendant des années, les services du marché gris, appelés « hébergements pare-balles », ont été un outil essentiel pour les cybercriminels cherchant à maintenir une infrastructure web anonymement et sans poser de questions. Mais alors que les forces de l'ordre du monde entier s'efforcent de lutter contre les menaces numériques , elles ont développé des stratégies pour obtenir des informations clients auprès de ces hébergeurs et ont de plus en plus souvent ciblé les personnes derrière ces services en les inculpant. Lors de la conférence Sleuthcon, consacrée à la cybercriminalité, qui s'est tenue aujourd'hui à Arlington, en Virginie, le chercheur Thibault Seret a expliqué comment cette évolution a poussé les hébergeurs pare-balles et les clients criminels à adopter une approche alternative.

Plutôt que de compter sur les hébergeurs web pour échapper à la surveillance des forces de l'ordre, certains fournisseurs de services se sont tournés vers des VPN et autres services proxy spécialement conçus pour assurer la rotation et le masquage des adresses IP de leurs clients, et proposent des infrastructures qui, soit n'enregistrent pas le trafic, soit le mélangent en provenance de plusieurs sources. Bien que cette technologie ne soit pas nouvelle, Seret et d'autres chercheurs ont souligné à WIRED l'importance de l'utilisation de proxys par les cybercriminels ces dernières années.

« Le problème, c'est qu'il est techniquement impossible de distinguer le trafic malveillant du trafic positif sur un nœud », a expliqué Seret, chercheur au sein de la société de renseignement sur les menaces Team Cymru, à WIRED avant sa conférence. « C'est la magie d'un service proxy : impossible de distinguer qui est qui. C'est un atout pour la liberté d'Internet, mais il est extrêmement difficile d'analyser ce qui se passe et d'identifier les activités malveillantes. »

Le principal défi pour lutter contre les activités cybercriminelles dissimulées par les proxys réside dans le fait que ces services peuvent également, voire principalement, faciliter un trafic légitime et inoffensif. Les criminels et les entreprises qui ne souhaitent pas les perdre comme clients s'appuient particulièrement sur ce que l'on appelle les « proxies résidentiels », un ensemble de nœuds décentralisés pouvant fonctionner sur des appareils grand public, même sur de vieux téléphones Android ou des ordinateurs portables bas de gamme, et offrant de véritables adresses IP tournantes attribuées aux domiciles et aux bureaux. Ces services offrent anonymat et confidentialité, mais peuvent également protéger le trafic malveillant.

En faisant croire que le trafic malveillant provient d'adresses IP de consommateurs fiables, les attaquants compliquent considérablement la tâche des scanners et autres outils de détection des menaces des entreprises pour détecter les activités suspectes. De plus, et c'est crucial, les proxys résidentiels et autres plateformes décentralisées fonctionnant sur des équipements grand public disparates réduisent la visibilité et le contrôle des fournisseurs de services, ce qui complique la tâche des forces de l'ordre.

« Ces deux ou trois dernières années, les attaquants ont intensifié leur utilisation des réseaux résidentiels pour leurs attaques », explique Ronnie Tokazowski, chercheur de longue date sur les escroqueries numériques et cofondateur de l'association à but non lucratif Intelligence for Good. « Si les attaquants proviennent des mêmes zones résidentielles que, par exemple, les employés d'une organisation ciblée, leur traque est plus difficile. »

L'utilisation criminelle des proxys n'est pas nouvelle. En 2016, par exemple, le ministère américain de la Justice a déclaré que l'un des obstacles à une enquête de plusieurs années sur la célèbre plateforme cybercriminelle « Avalanche » résidait dans l'utilisation par le service d'une méthode d'hébergement « fast-flux » qui masquait ses activités malveillantes grâce à des adresses IP proxy changeantes en permanence. Mais l'essor des proxys, devenus un service de marché gris plutôt qu'un outil que les attaquants doivent développer en interne, constitue une évolution importante.

« Je ne sais pas encore comment améliorer le problème des proxys », a déclaré Seret de Team Cymru à WIRED. « J'imagine que les forces de l'ordre pourraient cibler les fournisseurs de proxy malveillants connus, comme elles l'ont fait avec les hôtes pare-balles. Mais en général, les proxys sont des services Internet complets utilisés par tous. Même en supprimant un seul service malveillant, cela ne résout pas le problème plus vaste. »