Panne des routeurs Deutsche Telekom liée à Mirai

Le soir du 27 novembre 2016, environ 900 000 des 20 millions de routeurs de Deutsche Telekom ont commencé à planter, coupant les services internet, téléphonique et de télévision des clients allemands dans une perturbation qui s'est étendue au lendemain. La cause : une campagne ratée du botnet Mirai.

Ce qui s'est passé

Plus tôt ce mois-là, le 8 novembre 2016, un exploit visant le protocole de gestion à distance TR-064 (via le port 7547) des routeurs de classe Eir D1000 a été publié. Une nouvelle variante du botnet IoT Mirai l'a rapidement militarisé, scannant massivement internet pour enrôler les routeurs domestiques vulnérables dans le botnet.

Lorsque cette variante a sondé les routeurs Speedport de Deutsche Telekom (modèles W 921V, W 723V Type B et W 921 Fiber), les appareils n'ont pas réellement été infectés — ils ont planté à la place. Une faille dans le code de l'attaque faisait que la tentative d'exploit bloquait les routeurs au lieu de les recruter, empêchant paradoxalement l'infection mais provoquant une panne massive. Environ 900 000 clients ont perdu leur connectivité.

Impact

• Environ 900 000 clients fixes ont perdu internet, la téléphonie VoIP et l'IPTV.
• Les pannes ont commencé vers 17h00 le dimanche 27 novembre et se sont poursuivies jusqu'au lundi matin, soit environ deux jours de perturbation intermittente.
• Deutsche Telekom a réagi en diffusant une mise à jour du firmware qui s'installait automatiquement après un redémarrage des routeurs touchés, rétablissant le service.

Attribution

La campagne a été attribuée à un opérateur de botnet utilisant le pseudonyme « BestBuy », identifié par la suite comme le ressortissant britannique Daniel Kaye. Il a été arrêté à l'aéroport de Luton en février 2017 et condamné par un tribunal allemand en juillet 2017 à une peine avec sursis. Kaye aurait construit un botnet à louer et n'aurait pas eu l'intention de viser spécifiquement Deutsche Telekom — la panne fut un dommage collatéral d'un exploit défectueux.

Pourquoi c'est important

La panne de Deutsche Telekom a été une démonstration précoce et frappante de la façon dont des objets connectés et équipements grand public non sécurisés peuvent être enrôlés à l'échelle nationale — et de la manière dont même une tentative d'infection ratée peut provoquer une perturbation collatérale massive de services télécoms critiques. Survenant quelques semaines après les attaques DDoS record de Mirai contre Dyn et Krebs on Security, elle a consacré Mirai comme la menace de botnet IoT emblématique de l'époque et accéléré l'attention des régulateurs et des FAI sur la sécurité des routeurs, les interfaces de gestion à distance et le durcissement des identifiants par défaut.