Attaque DDoS Mirai contre le DNS Dyn

Le 21 octobre 2016, trois vagues de trafic de déni de service distribué ont frappé Dyn, un fournisseur de DNS managé dont les serveurs traduisaient les noms de domaine pour certains des sites les plus fréquentés d'Internet. L'attaque — alimentée par le botnet Mirai composé d'objets connectés détournés — a mis hors ligne Twitter, Netflix, Spotify, GitHub, Reddit, Airbnb, PayPal et des dizaines d'autres services pour les utilisateurs des États-Unis et d'Europe, et a fait des « objets connectés non sécurisés » une préoccupation grand public du jour au lendemain.

Ce qui s'est passé

Dyn exploitait un DNS faisant autorité — l'infrastructure qui convertit les noms de domaine lisibles par l'humain en adresses IP. Lorsque les serveurs de Dyn sont devenus inaccessibles, les navigateurs ne pouvaient plus retrouver l'adresse d'aucun site reposant sur Dyn, même si les serveurs de ces sites étaient parfaitement opérationnels. Le résultat fut une cascade de pannes apparentes à travers le web.

Le trafic provenait du botnet Mirai, un réseau de centaines de milliers d'objets connectés compromis — caméras IP, enregistreurs vidéo et routeurs domestiques livrés avec des mots de passe par défaut ou codés en dur. Mirai scannait Internet à la recherche de tels appareils, s'y connectait avec une liste intégrée d'identifiants courants, puis les enrôlait pour submerger des cibles sur commande. À son pic, l'attaque contre Dyn s'est appuyée sur des dizaines de millions d'adresses IP, avec des volumes largement rapportés de l'ordre de 1,2 Tbit/s.

Les vagues d'attaque

L'assaut est survenu en trois vagues distinctes le 21 octobre :

1. ~11h10 UTC — la première vague a frappé l'infrastructure de la côte Est de Dyn, interrompant la résolution de noms pour une longue liste de grands clients.
2. ~15h50 UTC — une deuxième vague, plus importante, a élargi la panne à l'ensemble des États-Unis et jusqu'en Europe. À son apogée, environ 75 % des points de mesure mondiaux surveillés ne recevaient aucune réponse aux requêtes Dyn.
3. ~20h00 UTC — une troisième vague a été en grande partie absorbée tandis que Dyn filtrait le trafic malveillant et réacheminait les requêtes.

À 22h10 UTC, après environ 11 heures de perturbations intermittentes, Dyn a déclaré l'incident résolu.

Attribution

Le botnet Mirai était l'œuvre de Paras Jha, Josiah White et Dalton Norman, trois jeunes hommes qui l'avaient initialement conçu pour attaquer des serveurs Minecraft et des services concurrents de DDoS à la demande. Après la publication du code source de Mirai en septembre 2016 (à la suite d'une attaque record contre le journaliste Brian Krebs), des botnets imitateurs ont proliféré — et l'on ignore toujours si l'attaque contre Dyn a été lancée par les auteurs originaux ou par l'un des nombreux botnets dérivés. Les trois créateurs ont plaidé coupables d'accusations fédérales en décembre 2017.

Pourquoi c'est important

L'attaque contre Dyn a marqué un tournant pour deux raisons. D'abord, elle a montré que le DNS constitue un point de défaillance unique pour une grande partie du web : neutraliser un seul fournisseur de DNS managé peut éteindre des centaines de services sans rapport entre eux, ce qui a poussé de nombreux grands sites à adopter un DNS redondant multi-fournisseurs. Ensuite, elle a rendu indéniable l'insécurité des objets connectés grand public, accélérant des réglementations telles que la loi californienne sur la sécurité de l'IoT (SB-327) et la loi britannique PSTI, qui ont interdit les mots de passe par défaut sur les appareils connectés. Le modèle de Mirai — scanner, forcer les identifiants par défaut, enrôler, submerger — est devenu le plan directeur de toute une génération de botnets IoT qui ont suivi.