La plus grosse attaque DDoS causée par des box d’opérateurs et des objets connectés

L’hébergeur OVH a été victime de la plus grosse attaque DDoS (Attaque par déni de service) jamais enregistrée durant la semaine du 19 septembre.

Octave Klaba, le fondateur et CTO de la licorne française avait révélé l’attaque sur Twitter.

Par la suite, les sollicitations des journalistes sont restées sans réponse, mais l’entreprise a publié cette semaine un long article pour alerter du problème des objets connectés.

L’attaque a été opérée par plus de 145 000 appareils générant des pics jusqu’à 1 Tbps. On retrouve des caméras IP, des DVR, des NAS, des Raspberry pi, mais aussi des « Box mal sécurisées distribuées à leurs abonnés par des FAI du sud de l’Europe ».

L’hébergeur se félicite d’avoir résisté à cette attaque d’une intensité inédite grace à « plus de 7 Tbps de connexion vers Internet ». Seuls les internautes en provenance d’Europe du Sud ont subi des ralentissements, notamment à cause de congestions sur les interconnexions avec un FAI espagnol.

Octove Klaba a révélé les attaques dont son entreprise a été victime pour « attirer l’attention des spécialistes en sécurité et autorités compétentes sur l’ampleur du botnet (le réseau d’objets connectés contrôlé par les pirates) ». Si un hébergeur majeur comme OVH peut résister à de telles attaques, ce n’est pas le cas de tout le monde.

Des millions d’objets ont en effet été connectés à internet ces dernières années, sans que les fabricants ne se préoccupent de sécuriser correctement ces appareils, donnant la possibilité aux personnes mal intentionnées de prendre le contrôle de nombreux appareils toujours connectés à internet (contrairement aux ordinateurs), dotés d’une importante puissance de calcul disponible et d’une large bande passante pour envoyer des flux de requêtes.

« Résister aux DDoS visant nos clients, c’est notre job ! Mettre hors d’état de nuire des botnets de plus en plus gros, en revanche, ce n’est pas notre mission. Nous n’en avons ni le droit, probablement pas les moyens, et cela implique la coopération de nombreux acteurs. Que pouvons-nous, par exemple, si les constructeurs d’équipements connectés ne corrigent pas les failles de leurs softwares, si les revendeurs n’osent pas prévenir leurs clients que leur matériel est infecté ? »

> Voir l’article complet La goutte DDoS n’a pas fait déborder le VAC