“ Kraken est la plus grande armée de machines zombies ”

Gilbert Kallenborn

01net.

le 22/04/2008 à 14h40

26 réactions

envoyer
par mail

imprimer
l'article

Au début du mois d'avril, la société américaine Damballa a découvert Kraken, nouveau réseau de “ machines zombies ” – des ordinateurs contrôlés à l'insu de leur propriétaire par des pirates. Le chercheur Paul Royal nous explique son fonctionnement.

01net. : En quoi le réseau Kraken est-il différent des autres réseaux zombies ?
Paul Royal : Kraken est actuellement la plus grande armée de machines zombies au monde. Nous avons détecté à ce jour environ 495 000 adresses IP affiliées, que nous avons publiées sur notre site. Derrière chaque adresse, il faut imaginer une ou plusieurs machines contaminées. Kraken est deux fois plus grand que Storm, qui, avec 230 000 adresses, était jusqu'alors considéré comme le plus grand réseau de zombies. Nous pensons que Kraken va encore grandir.

Comment les zombies de Kraken se propagent-ils ?
Pour infecter de nouvelles machines, le réseau Kraken utilise principalement les messageries instantanées de type MSN. Les utilisateurs reçoivent un fichier qui ressemble à une image, en réalité un cheval de Troie qui s'installe dès que l'on clique dessus.
Ce logiciel malveillant est assez difficile à détecter pour les outils de sécurité. Les machines zombies sont gérées et mises à jour par trois serveurs de contrôle, dont un à Moscou et un à Dallas. Le troisième était hébergé, jusqu'à il y a peu de temps, à Paris.
Le Mexique est le pays le plus atteint à ce jour, avec plus de 36 000 adresses corrompues. Il est suivi par le Canada (33 000), les États-Unis (26 000), la Grande-Bretagne (21 000), l'Espagne (20 000), la Turquie (18 000), l'Italie (17 000), l'Allemagne (17 000), l'Argentine (17 000) et la Colombie (14 000). Les utilisateurs hispanophones sont donc particulièrement touchés.

Qui a créé Kraken, et dans quel but ?
Kraken n'est pas l'œuvre d'une personne, mais d'un groupe professionnel. Il présente des similitudes avec des réseaux zombies antérieurs. Nous pensons que derrière lui se cache le groupe de hackers Russian Business Network, qui fait partie de la mafia russe.
Pour l'instant, Kraken se limite à l'envoi de pourriels. Mais cela pourrait changer très vite. Storm, par exemple, a commencé par le pourriel avant de s'étendre à d'autres activités comme le déni de service de site Web ou le vol d'informations. Peu importent finalement les moyens et la technique : ces gens veulent avant tout faire de l'argent.

Les entreprises sont-elles touchées ?
Beaucoup d'entreprises sont touchées par Kraken, dont une cinquantaine parmi les 500 plus grandes de la planète. Mais le risque est limité. Pour communiquer, les zombies de Kraken utilisent les protocoles TCP et UDP sur le port 447, qui est généralement bloqué par les pare-feu.
Même s'ils sont infectés, les PC de bureau ne peuvent pas agir. Le risque est bien sûr plus grand pour les PC portables, qui, en fonction du lieu de connexion, ne sont pas toujours protégés par un firewall.

Que faut-il faire pour se protéger ?
Pour se prémunir, il faut éviter d'ouvrir les e-mails ou les messages de personnes que l'on ne connaît pas. Pour savoir avec certitude si une machine est ou non infectée, il suffit d'analyser le trafic réseau.
En cas de contamination, il faut identifier le processus Kraken en question, le stopper, effacer les fichiers logiciels associés et redémarrer la machine. Sur notre site Web, nous indiquons tous les détails de cette procédure.