Botnet (Réseau de Robots)

Principe de fonctionnement

Un botnet repose sur trois éléments : un vecteur d'infection initial (phishing, exploitation de services exposés, identifiants par défaut sur objets connectés), une charge utile de type malware assurant la persistance, et un canal de commande. L'architecture peut être centralisée (IRC, HTTP/HTTPS vers un serveur C2), pair-à-pair (Mozi, Sality) ou hybride. La résilience du C2 repose sur le DGA (génération algorithmique de domaines), le fast-flux DNS et le chiffrement du canal.

Utilisation en attaque

Les capacités sont modulaires et monnayées en botnet-as-a-service :

• Attaques DDoS volumétriques ou applicatives (Mirai, plus de 1 Tbit/s)
• Distribution de ransomware : Emotet et TrickBot comme accès initial
• Vol d'identifiants, credential stuffing et exfiltration bancaire
• Minage de cryptomonnaies et fraude au clic
• Relais proxy résidentiels anonymisant d'autres attaques

Outils associés

Les kits historiques (Zeus, Andromeda, Gafgyt) coexistent avec des frameworks C2 offensifs détournés : Cobalt Strike, Sliver, Mythic, Covenant. Les sources fuitées de Mirai ont engendré des dizaines de variantes ciblant caméras et routeurs. Les rootkits assurent la furtivité du bot sur l'hôte.

Détection et indicateurs

Le signal le plus robuste reste le beaconing : connexions périodiques régulières, même bruitées par du jitter, vers un domaine rare. À surveiller aussi : requêtes DNS massives en NXDOMAIN (signature DGA), résolutions à TTL très bas, trafic sortant sur ports atypiques, pics NetFlow asymétriques, processus injectés et tâches planifiées suspectes. La corrélation SIEM DNS/proxy/pare-feu est déterminante.

Contre-mesures

• Filtrage egress strict et sinkholing DNS des domaines malveillants
• Segmentation réseau isolant les équipements IoT et OT
• Durcissement : suppression des identifiants par défaut, correctifs rapides
• Solutions EDR détectant l'injection et la persistance
• Authentification multifacteur limitant la réutilisation d'identifiants volés
• Participation aux opérations de takedown et partage d'IoC sectoriel

--- Slugs référencés (à remapper si votre nomenclature diffère) : `phishing`, `malware`, `ddos`, `ransomware`, `proxy`, `rootkit`. Je n'ai pas eu accès au dépôt pour les vérifier. Longueur estimée ~2450 caractères — l'écriture du fichier et l'exécution de `wc -m` ayant été refusées par les permissions, ce comptage est une estimation et non une mesure.