Les attaques ont ciblé les serveurs DNS (qui livrent les informations aux bonnes adresses), rendant de nombreux sites inaccessibles pendant plusieurs heures. Parmi eux figurent des sites permettant d’effectuer des achats en ligne, des réseaux sociaux, et d’écouter de la musique.

ESET dresse un bilan des 10 points à retenir sur cette attaque. En voici un extrait, la version détaillée étant disponible sur WeLiveSecurity (version anglaise).

1. Les attaques ont ciblé la société Dyn, un important fournisseur de serveur DNS utilisé par de grands groupes comme Twitter, Pinterest, Reddit, GitHub, Etsy, Tumblr, Spotify, PayPal, Verizon, Comcast, et le réseau Playstation.
2. Les attaquants ont piraté des milliers d’appareils connectés mal-protégés tels que les routeurs domestiques et les caméras de surveillance, pour former un réseau botnet.
3. L’attaque a été facilitée par la négligence des utilisateurs qui n’ont pas changé le mot de passe par défaut de leurs appareils.
4. L’exploitation d’appareils numériques par un code malveillant peut perturber l’activité économique d’un pays : il est probable que plusieurs millions de dollars de vente ligne soient perdus.
5. De nombreuses personnes malveillantes sont prêtes à nuire à l’activité économique d’un pays au moyen d’un code malveillant, et ce pour de multiples raisons.
6. L’information et l’éducation des utilisateurs sont primordiales.
7. La réduction du nombre d’appareils connectés vulnérables est un objectif réalisable et auquel les entreprises peuvent contribuer. Voici d’ailleurs 4 mesures recommandées par l’US CERT :
   • Remplacer tous les mots de passe par défaut par des mots de passe forts
   • Mettre à jour les objets connectés
   • Désactiver l’UPnP (universal plug and play) des routeurs sauf en cas d’absolue nécessité
   • Acheter des objets connectés auprès d’entreprises certifiant de fournir des dispositifs sécurisés
8. Le code malveillant infectant les routeurs n’est pas nouveau et a déjà été repéré en mai 2015 par les équipe ESET.
9. Les nouvelles générations d’attaques DDos amplifient leur portée dans le fait qu’elles s’appuient sur de nombreux objets connectés.
10. Cette dernière attaque nous montre à quel point un pays peut être vulnérable en cas d’attaque de son système d’informations.

Autre article sur le même sujet :

Cyberattaque mondiale : l’IoT, nouvelle cible privilégiée des hackers

Alors que la cyberattaque mondiale qui a touché de nombreux sites vendredi dernier vient tout juste d’être neutralisée, l’heure est à la prévention pour tenter d’endiguer un phénomène aussi sensible que stratégique.

Rappel des faits : vendredi dernier, une attaque DDoS (déni de service distribué) de grande ampleur a mis hors service de nombreux grands sites américains dont Twitter, Airbnb, Paypal ou Spotify.

Si la plupart des sites ont été remis en service au bout de quelques heures, les autorités américaines viennent tout juste d’annoncer l’attaque comme « totalement neutralisée ».

Si les cyberattaques sont légion, les évènements de vendredi ont une saveur particulière car c’est la première fois qu’une attaque de cette ampleur touche directement l’Internet des Objets (IoT).

« Cette attaque présente deux caractéristiques intéressantes. La première est qu’elle ne vise non pas l’un des géants du net en particulier, mais un prestataire de services. Ce genre de structure est moins exposé en théorie mais beaucoup plus fondamental dans l’organisation d’internet, ce qui rend l’attaque bien plus efficace. La seconde caractéristique est que les vecteurs de cette attaque sont les objets connectés : caméras de surveillance, enregistreurs, webcams etc. Ces objets disposent à l’heure actuelle d’une sécurité trop faible pour faire face à de telles agressions. » précise Astrid-Marie Pirson, Responsable de Marché Technologies / Médias / Télécoms / Cyber chez Hiscox. « Compte-tenu du nombre d’appareils touchés, il devient crucial d’envisager la protection, d’un point de vue technique comme assurantiel, de ces objets ».

Sur le même sujet : Voici les mots de passe qui ont fait tomber le Web.