Première ligne de défense
L'écosystème du phishing : les acteurs et leurs interactions
L'écosystème du phishing est une micro-économie lucrative impliquant des auteurs, des acteurs et des activateurs de réseaux de zombies. Les auteurs types sont de jeunes experts en technologie, le plus souvent basés en Europe de l'Est, au Brésil, au Maroc et en Chine. La création de réseaux de zombies s'est largement répandue et les outils de création de ces réseaux sont désormais si accessibles que le niveau requis en connaissances technologiques et en matière de sophistication a diminué. C'est pourquoi les réseaux de zombies sont aujourd'hui plus dangereux que jamais.
Un autre acteur clé de l'écosystème du phishing est le « botmaster » qui peut être le créateur de réseaux de zombies ou une personne chargée de louer ces réseaux à d'autres personnes. À l'aide d'un canal IRC (Internet Relay Chat ou service de dialogue en direct) ou d'un autre forum de discussion clandestin, le botmaster donne des ordres aux réseaux de zombies. Les botmasters peuvent également jouer le rôle d'actionnaires cédant des réseaux de zombies au plus offrant, comme par exemple un spammeur ou un spécialiste des extorsions en ligne.
Les activateurs de réseaux de zombies, qui prêtent involontairement main forte aux auteurs de phishing, comprennent d'importants moteurs de recherche, registres de nom de domaines, sociétés de logiciels publicitaires ou toute personne ou société qui n'agit pas avec la diligence requise pour empêcher les attaques de phishing et de réseaux de zombies.
« La plupart des auteurs d'attaques de phishing d'aujourd'hui suivent l'actualité de très près et planifient leurs attaques en fonction d'événements particuliers ou de catastrophes naturelles comme l'ouragan Katrina », affirme Dave Rand, Directeur de la technologie du service de sécurité de contenus Internet chez Trend Micro. « Par exemple, après des catastrophes naturelles telles que des ouragans ou des tremblements de terre majeurs, les auteurs de phishing préparent et mettent en œuvre des attaques via des e-mails et sites Web destinés à récolter des fonds pour aider les victimes. »
Les réseaux de zombies constituent aujourd'hui une industrie lucrative générant des profits faramineux et reconnue comme forme de crime organisé. Le coût des réseaux de zombies est minime à côté des pertes et dommages financiers subis par les entreprises et utilisateurs finaux. Les experts de sécurité ayant contrôlé des forums de discussion IRC rapportent qu'une attaque par saturation peut coûter entre 500 et 1 500 $, tandis que le coût de plus petites attaques de réseaux de zombies oscille entre 1 et 40 $ par PC affecté. Les bénéfices totaux réalisés par les malfaiteurs impliqués dans les réseaux de zombies et les dommages financiers infligés aux particuliers et sociétés dépassent de loin ces dépenses.
« Les acteurs de réseaux de zombies constituent une organisation criminelle motivée par l'appât du gain », explique Rand. « Bien qu'on observe des fluctuations de coûts, les réseaux de zombies ont engendré des bénéfices allant de plusieurs centaines de milliers à plusieurs millions de dollars. Les ordinateurs piratés ne représentent pas l'unique source de gains financiers illégitimes – les acteurs de réseaux de zombies s'attaquent également aux données telles que les numéros de cartes de crédit, obtenus par phishing et loués ou vendus à des tiers criminels. »
Grâce à l'utilisation de pièges à pirates ou « honeypots » (ordinateurs volontairement maintenus vulnérables pour piéger les pirates tentant d'accéder illégalement à des systèmes d'information), les chercheurs en réseaux de zombies et attaques de phishing étudient les nouveaux scénarios et interactions caractérisant l'écosystème du phishing. L'univers des réseaux de zombies évolue constamment.
Rand et d'autres experts en matière de sécurité observent actuellement de nouvelles tendances dans l'écosystème du phishing, telles que l'utilisation d'un plus grand nombre d'attaques qui mettent en jeu des réseaux de zombies plus petits. Une telle tactique rend les attaques plus difficiles à détecter étant donné qu'elles proviennent de différentes sources. Ils remarquent également l'utilisation d'e-mails de phishing trafiqués pour prendre l'apparence de cartes postales électroniques envoyées par un proche de la victime. Les créateurs de réseaux de zombies empêchent la détection de leurs œuvres en mappant leur extension et en dissimulant le réseau d'attaques et ce, via un service IRC ou une autre commande et un centre de contrôle. Ils peuvent ainsi activer ou désactiver à souhait leurs bots.
(Voir « Les meilleures méthodes de protection contre les attaques de phishing » dans le prochain bulletin d'informations intitulé « Première ligne de défense ».)
