[Aller au contenu principal](#main-content)
 

 
 

 
 
 
 

 
# Botnet (Réseau de Robots)

 hacking
 
 

 
 
 
 
## Définition

 

Un botnet, ou réseau de robots, est un ensemble d'appareils informatiques compromis par un malware et placés sous le contrôle à distance d'un attaquant, appelé botmaster, via une infrastructure de commande et contrôle (C2) qui centralise les instructions envoyées à chaque machine infectée, ou « bot ». L'infrastructure C2 peut suivre une architecture centralisée classique, où l'ensemble des bots contacte périodiquement un ou plusieurs serveurs identifiés, plus simple à mettre en place mais aussi plus vulnérable au démantèlement par les forces de l'ordre en ciblant ce point unique, ou une architecture pair-à-pair décentralisée, plus résiliente car dépourvue de point de défaillance unique. Les botnets sont détournés à des fins multiples et souvent combinées : attaques par déni de service distribué en mobilisant simultanément des milliers voire millions de machines pour saturer une cible, envoi massif de campagnes de spam ou de phishing, minage de cryptomonnaie à l'insu du propriétaire de la machine, ou vol de credentials et de données bancaires. Des botnets historiques comme Mirai, spécialisé dans la compromission d'objets IoT mal sécurisés, ou Emotet, initialement un cheval de Troie bancaire devenu plateforme de distribution de malware, illustrent l'ampleur et la persistance de cette menace, dont le démantèlement nécessite souvent une coordination internationale entre forces de l'ordre et éditeurs de sécurité.
 

 
 
 
 
### Principe de fonctionnement

Un botnet repose sur trois éléments : un vecteur d'infection initial ([phishing](/glossaire/phishing), exploitation de services exposés, identifiants par défaut sur objets connectés), une charge utile de type [malware](/glossaire/malware) assurant la persistance, et un canal de commande. L'architecture peut être **centralisée** (IRC, HTTP/HTTPS vers un serveur C2), **pair-à-pair** (Mozi, Sality) ou hybride. La résilience du C2 repose sur le **DGA** (génération algorithmique de domaines), le fast-flux DNS et le chiffrement du canal.
### Utilisation en attaque

Les capacités sont modulaires et monnayées en **botnet-as-a-service** :
- Attaques [DDoS](/glossaire/ddos) volumétriques ou applicatives (Mirai, plus de 1 Tbit/s)
- Distribution de [ransomware](/glossaire/ransomware) : Emotet et TrickBot comme accès initial
- Vol d'identifiants, **credential stuffing** et exfiltration bancaire
- Minage de cryptomonnaies et fraude au clic
- Relais [proxy](/glossaire/proxy) résidentiels anonymisant d'autres attaques
### Outils associés

Les kits historiques (Zeus, Andromeda, Gafgyt) coexistent avec des frameworks C2 offensifs détournés : **Cobalt Strike**, Sliver, Mythic, Covenant. Les sources fuitées de Mirai ont engendré des dizaines de variantes ciblant caméras et routeurs. Les [rootkits](/glossaire/rootkit) assurent la furtivité du bot sur l'hôte.
### Détection et indicateurs

Le signal le plus robuste reste le **beaconing** : connexions périodiques régulières, même bruitées par du jitter, vers un domaine rare. À surveiller aussi : requêtes DNS massives en NXDOMAIN (signature DGA), résolutions à TTL très bas, trafic sortant sur ports atypiques, pics NetFlow asymétriques, processus injectés et tâches planifiées suspectes. La corrélation SIEM DNS/proxy/pare-feu est déterminante.
### Contre-mesures

- **Filtrage egress** strict et sinkholing DNS des domaines malveillants
- Segmentation réseau isolant les équipements IoT et OT
- Durcissement : suppression des identifiants par défaut, correctifs rapides
- Solutions EDR détectant l'injection et la persistance
- Authentification multifacteur limitant la réutilisation d'identifiants volés
- Participation aux opérations de **takedown** et partage d'IoC sectoriel

---
Slugs référencés (à remapper si votre nomenclature diffère) : `phishing`, `malware`, `ddos`, `ransomware`, `proxy`, `rootkit`. Je n'ai pas eu accès au dépôt pour les vérifier. Longueur estimée ~2450 caractères — l'écriture du fichier et l'exécution de `wc -m` ayant été refusées par les permissions, ce comptage est une estimation et non une mesure.
 
 

 
 
 
 
## **Articles liés

 
 
 

 

 
 
 
 
 
 
 
 

 
 
 
 
 
 

Un projet cybersécurité ?
 

Expert dispo · Réponse 24h
 
 
 Devis **
 
 
 **