Raptor Train : le botnet qui exploite vos appareils du quotidien

Les botnets sont de plus en plus sophistiqués et dangereux. L’une des infections les plus alarmantes est le botnet Raptor Train. Apparu discrètement en 2020, ce vaste réseau de dispositifs piratés de petites entreprises/bureaux à domicile (SOHO) et d’Internet des objets (IoT) a été lié à un acteur de menace étatique chinois, Flax Typhoon. Opérant en toute discrétion, Raptor Train a non seulement réussi à compromettre des centaines de milliers d’appareils, mais il est également devenu l’un des botnets les plus puissants et les plus persistants de ces dernières années.

Qu'est-ce que le botnet Raptor Train ?

Raptor Train est un botnet, un réseau d'appareils compromis connectés à Internet et contrôlés par un opérateur malveillant. Ces appareils, principalement des routeurs, des caméras IP, des enregistreurs numériques et des serveurs de stockage en réseau (NAS), appartiennent à des particuliers et à des entreprises ordinaires. Pourtant, à l'insu de leurs propriétaires, ils ont été recrutés dans une vaste armée numérique.

Contrairement aux malwares traditionnels, Raptor Train cible des types spécifiques d'appareils vulnérables généralement utilisés dans les maisons ou les petits bureaux. Cela inclut les produits de fabricants renommés comme TP-Link, Asus, Synology et Hikvision. L'infrastructure du botnet est conçue pour garder le contrôle de ces appareils, avec une architecture sur trois niveaux.

1. Le niveau 1 est constitué des appareils IoT infectés.
2. Le niveau 2 est responsable de l’envoi de commandes et du déploiement de nouvelles infections.
3. Le niveau 3 , géré par un système centralisé appelé Sparrow, émet des instructions et suit les opérations de l'ensemble du réseau.

Depuis 2020, Raptor Train n'a cessé d'étendre sa portée. En juin 2023, plus de 60 000 appareils ont été activement infectés, dont plus de 200 000 ciblés depuis sa création. Ce botnet est particulièrement redoutable en raison de sa capacité à réinfecter les appareils même après leur redémarrage ou leur nettoyage temporaire, ce qui le rend extrêmement résilient.

Que fait le train Raptor ?

La fonction première de Raptor Train est d'agir comme une armée numérique silencieuse, disponible pour diverses tâches malveillantes. Celles-ci peuvent aller du lancement d'attaques par déni de service distribué (DDoS) au vol de données et à l'espionnage. Bien qu'aucune attaque DDoS n'ait été confirmée à ce jour par ce botnet, son potentiel est alarmant. L'ampleur du réseau, combinée à sa capacité à émettre des commandes, à exécuter des fichiers et à transférer des données, en fait un outil dangereux pour tout acteur souhaitant perturber ou espionner des cibles spécifiques.

Les chercheurs ont découvert que le botnet a été utilisé dans plusieurs campagnes au fil des ans. Chaque campagne utilisait des domaines différents et ciblait divers appareils, évoluant pour rester en avance sur les efforts de détection. Une campagne récente, baptisée « Oriole », est devenue si répandue que certains de ses domaines ont été inclus dans des listes de domaines à fort trafic, ce qui les rend plus difficiles à bloquer pour les outils de sécurité.

Raptor Train aurait été utilisé à des fins d'espionnage, ciblant des secteurs comme la défense, l'éducation et les télécommunications. Ses opérateurs ont montré leur capacité à détecter les vulnérabilités et à exploiter les failles connues des logiciels, ce qui pourrait conduire à des accès non autorisés ou à des violations de données.

Comment éviter le train des rapaces ?

La bonne nouvelle est que malgré la sophistication de Raptor Train, il existe des moyens de protéger vos appareils contre l'enrôlement dans ce botnet. Voici quelques étapes essentielles pour vous défendre contre cette menace croissante :

1. Mettez régulièrement à jour vos appareils : l'une des principales raisons du succès de Raptor Train est que de nombreux appareils IoT ne sont pas corrigés et exécutent des logiciels obsolètes. Assurez-vous de mettre régulièrement à jour vos routeurs, caméras et autres appareils connectés pour vous assurer qu'ils disposent des derniers correctifs de sécurité.

2. Modifiez les mots de passe par défaut : la plupart des appareils IoT sont dotés de noms d'utilisateur et de mots de passe par défaut qui sont faciles à deviner pour les attaquants. Modifiez-les toujours par quelque chose de plus sécurisé dès que vous configurez un nouvel appareil.

3. Activez les pare-feu et désactivez les fonctionnalités inutilisées : certains appareils proposent des fonctionnalités inutiles pour une utilisation quotidienne, mais qui pourraient être exploitées par des pirates informatiques. Vérifiez les paramètres de votre appareil et désactivez tout ce dont vous n'avez pas besoin, comme l'accès à distance ou Universal Plug and Play (UPnP).

4. Surveillez l'activité réseau : la surveillance d'une activité inhabituelle sur votre réseau domestique ou professionnel peut vous aider à détecter si un appareil a été compromis. Utilisez des outils tels que des systèmes de détection d'intrusion pour surveiller le trafic.

5. Segmentez votre réseau : si possible, créez des réseaux distincts pour vos appareils IoT. Ainsi, même si un appareil est compromis, un attaquant aura plus de mal à accéder à des systèmes plus critiques, comme vos ordinateurs ou vos serveurs de travail.

Pourquoi le train Raptor est un signal d’alarme

Les botnets comme Raptor Train s'inscrivent dans une tendance plus large de la cyberguerre, où des appareils ordinaires sont exploités à des fins d'espionnage et de perturbations parrainées par des États. Ce qui est particulièrement inquiétant, c'est le grand nombre d'appareils IoT vulnérables dans le monde. Contrairement aux ordinateurs ou aux smartphones, bon nombre de ces gadgets ne reçoivent pas de mises à jour de sécurité régulières, ce qui en fait des cibles de choix pour les pirates informatiques.

Le botnet Raptor Train met en évidence le besoin croissant de mesures de cybersécurité renforcées pour les appareils connectés. Qu'il s'agisse d'un routeur à domicile ou d'une caméra de sécurité au bureau, ces appareils sont des passerelles potentielles pour les acteurs malveillants.

Les experts en cybersécurité travaillent sans relâche pour démanteler ce botnet, mais tant que les vulnérabilités des appareils IoT existeront, Raptor Train et les réseaux similaires resteront une menace. Alors que de plus en plus d’aspects de notre vie quotidienne sont connectés à Internet, la protection de ces appareils contre toute compromission n’a jamais été aussi cruciale.

Conclusion

Le Raptor Train illustre les risques posés par les appareils IoT et SOHO vulnérables. En restant vigilants, en mettant régulièrement à jour leurs appareils et en utilisant les meilleures pratiques telles que la gestion des mots de passe et la segmentation du réseau, les utilisateurs peuvent réduire considérablement leur risque d'être victimes de botnets comme celui-ci. Le paysage de la cybersécurité continuera d'évoluer, tout comme notre approche de la protection de nos vies numériques.