Un serveur de publicité en ligne et des organisations antispam victimes d'attaques

Le 16 juin, le français Smart AdServer a été visé par des pirates, comme deux organisations antispam quelques jours plus tôt.

Les pirates ont sorti la très grosse artillerie. Vendredi dernier, ils ont pris pour cible Smart AdServer, l'une des principales sociétés françaises de gestion de la publicité sur Internet. Par ricochet, cette opération malveillante a perturbé plusieurs gros sites hexagonaux (AlloCiné, Le Figaro, Libération, Boursorama...) qui font appel à ce service créé en 2001 par Auféminin.com. Joint au téléphone par 01net., Cyril Geffray, directeur commercial de la société, n'a pas souhaité s'exprimer officiellement, jugeant le sujet très sensible.

Des millions de requêtes par seconde

Impossible de connaître l'identité des attaquants (pirate ou concurrent) et donc leur motivation (tentative de déstabilisation ou de racket). Toujours est-il que la méthode employée est rudimentaire mais très efficace. Elle peut se résumer en une phrase : ' tous contre un '. Appelée ' attaque en déni de service distribué ' ou ' attaque DdoS ' (Distributed denial-of-service) par les spécialistes, cette opération vise à perturber, voire paralyser, l'activité d'une entreprise en saturant son serveur avec des millions de requêtes par seconde. Le trafic devient alors ingérable.Pour lancer cette attaque de masse, les escrocs exploitent des dizaines d'ordinateurs personnels ou d'entreprise dont ils ont pris le contrôle à l'insu de leur utilisateur. C'est ce qu'on appelle des ' PC zombies '. Mis en réseaux ?" appelés botnets ?" par l'attaquant, ils permettent de bénéficier d'une puissance de feu redoutable et difficilement repérable car les machines compromises sont réparties dans plusieurs pays.Selon une source policière, ce genre d'attaque avait ' jusqu'à présent épargné la France '. Les cas les plus connus se situent à l'étranger.

Tentative de racket

La première motivation peut être la volonté de nuire. L'une des dernières grosses attaques a eu lieu il y a un an. Plus de 10 millions de sites personnels et de blogs hébergés par la société américaine Six Apart ont été inaccessibles pendant plusieurs heures le 2 mai. Selon Loïc Le Meur, qui était à l'époque directeur général de Six Apart Europe, l'attaque visait prioritairement Blue Security. Hébergée par Six Apart, cette société israélienne avait développé une solution antispam qui aurait gêné l'activité des spammeurs. Ces derniers seraient à l'origine de cette opération de grande envergure.Dans la nuit du 11 au 12 juin, des spammeurs viennent de récidiver. Ils ont visé cette fois-ci le SpamHaus Project, URIBL (Realtime URI Blacklist) et SURBL (Spam URI Realtime Blocklists). Il s'agit d'organisations qui ont notamment développé des listes noires.La deuxième motivation peut être le racket. En 2005, le serveur d'un hébergeur de sites à Paris a été saturé pendant plusieurs heures dans une tentative de ce type. Aux Etats-Unis, durant le Superbowl 2003, un racketteur avait menacé plusieurs sites de paris en ligne d'une attaque en déni de service s'ils ne s'acquittaient pas d'une somme allant de 10 000 à 50 000 dollars.Les entreprises sont démunies face à ces attaques car il n'existe pas de protection efficace. ' Parmi les parades envisageables, on peut répliquer le serveur sur d'autres sites ou augmenter la bande passante pour résister à la charge. Mais ce n'est pas l'idéal car on ne connaît pas la puissance de l'attaque et sa durée ', explique Guillaume Arcas, consultant en sécurité.

Des milliers de sites infectés en Italie

Quelque 10 000 sites corrompus en quelques jours dans le monde et principalement en Italie ! C'est l'exploit réalisé par des pirates ces derniers jours. Sur son blog, Trend Micro indique que des sites très populaires en Italie seraient utilisés par des pirates pour récupérer des données confidentielles d'internautes. ' Dans les dernières 48 heures, plus de 2 000 sites ont été atteints et nous avons constaté un doublement du nombre de victimes toutes les six heures ', affirme Ivan Macalintal, ingénieur senior chez TrendLabs.

Les auteurs de cette attaque exploitent une faille assez ancienne des navigateurs, la vulnérabilité Iframe. En cliquant sur un encart de pub ou un lien corrompu présent sur les sites détournés, les internautes sont redirigés vers d'autres pages Web infectées par MPack.

Vendu 700 euros sur le marché noir, il tente d'infecter l'ordinateur de chaque visiteur en détectant son navigateur et en tentant d'utiliser une vulnérabilité adaptée. Objectif : installer à votre insu soit un keylogger (petit programme qui enregistre les frappes de clavier) soit un cheval de Troie permettant ensuite de prendre le contrôle de votre PC pour lancer des... attaques Ddos.