Le National Cyber Security Centre du Royaume-Uni (NCSC-UK) et ses partenaires internationaux ont émis une alerte concernant l’utilisation croissante par des hackers liés à la Chine de réseaux de proxy à grande échelle composés de dispositifs consommateurs piratés. Ces méthodes visent à éviter la détection et à masquer leurs activités malveillantes.
Ce communiqué commun, signé par des agences de pays tels que les États-Unis, l’Australie, le Canada, l’Allemagne, le Japon, les Pays-Bas, la Nouvelle-Zélande, l’Espagne et la Suède, fait état d’un changement dans les pratiques des groupes de hackers chinois. L’accent est désormais mis sur la création de vastes botnets à partir de dispositifs compromis, notamment des routeurs utilisés dans les bureaux à domicile, ainsi que des caméras connectées, des enregistreurs vidéo et des composants de stockage en réseau (NAS).
Ces réseaux de botnets permettent de diriger le trafic à travers une série de dispositifs compromis, entrant par un point et passant par plusieurs nœuds intermédiaires avant d’atteindre la cible, ce qui complique leur identification géographique.
« Le NCSC estime que la majorité des acteurs menaçants liés à la Chine exploitent ces réseaux, et que plusieurs réseaux clandestins sont en constante évolution, » selon le communiqué.
Parmi ces botnets, le réseau connu sous le nom de Raptor Train a infecté plus de 260 000 dispositifs à l’échelle mondiale en 2024. Ce réseau a été associé par le FBI à des activités malveillantes impliquant le groupe de hackers soutenu par l’État, Flax Typhoon, ainsi qu’à la société chinoise Integrity Technology Group, sanctionnée en janvier 2025.
Le FBI a réussi à perturber Raptor Train en septembre 2024 avec le soutien des chercheurs de Black Lotus Labs, après avoir établi des liens avec des campagnes ciblant des entités des secteurs militaire, gouvernemental, de l’enseignement supérieur, des télécommunications et des technologies d’information, principalement aux États-Unis et à Taiwan.
Un autre réseau, le KV-Botnet, a été utilisé par le groupe de menaces soutenu par l’État, Volt Typhoon, et était majoritairement constitué de routeurs Cisco et Netgear obsolètes. Le FBI a également interrompu KV-Botnet en supprimant les logiciels malveillants en janvier 2024, mais Volt Typhoon a commencé à le reconstituer en novembre 2024 après une tentative infructueuse en février.
« Les opérations de botnets représentent une menace significative pour le Royaume-Uni en exploitant les vulnérabilités des dispositifs connectés à Internet, avec le potentiel de mener des cyberattaques à grande échelle, » a déclaré Paul Chichester, Directeur des opérations du NCSC-UK.
Les agences de renseignement occidentales ayant signé cet avis mettent en garde contre l’inefficacité croissante des défenses traditionnelles reposant sur le blocage de listes d’adresses IP malveillantes. Les défenses sur les réseaux, qu’ils soient petits, moyens ou grands, doivent plutôt s’orienter vers la mise en place d’une authentification multifactorielle, la cartographie des dispositifs en périphérie du réseau, l’utilisation de flux de menaces dynamiques intégrant des indicateurs de réseaux clandestins connus, et, dans la mesure du possible, l’application de listes de certificats IP, de contrôles zero-trust et de vérification des certificats machine.