Qu’est-ce qu’un botnet ?

Un botnet est un réseau d’appareils compromis, contrôlés à distance par un attaquant, utilisé pour mener des actions malveillantes à grande échelle. Devenu l’un des principaux moteurs des cyberattaques modernes, il constitue aujourd’hui un vecteur majeur d’attaques contre les applications web et les API. Nous vous proposons de comprendre son fonctionnement, son lien avec le phishing et le ransomware, les risques qu’il représente, et comment UBIKA WAAP Gateway permet de le détecter et de le bloquer.

C’est quoi un botnet ou « réseau zombie » ? (Définition)

Le terme « botnet » est une contraction de « robot » et « network » (réseau). Il désigne un ensemble d’appareils connectés à Internet — ordinateurs, serveurs, objets IoT comme des caméras ou des routeurs — infectés par un logiciel malveillant et placés sous le contrôle d’un cybercriminel, souvent appelé « bot herder » ou « éleveur de bots ». « Réseau zombie » est simplement le synonyme français de botnet.

Quel est souvent le but d’un botnet ?

Les botnets sont utilisés pour mener diverses escroqueries et cyberattaques à grande échelle, avec des objectifs qui varient selon l’attaquant.

Saturer une application avec des attaques DDoS

En mobilisant simultanément des milliers, voire des millions d’appareils infectés, l’attaquant peut générer un volume de requêtes largement supérieur à ce qu’une infrastructure normale peut absorber. L’objectif est de saturer un site, une application ou un serveur, jusqu’à le rendre totalement indisponible pour ses utilisateurs légitimes. C’est l’un des usages les plus anciens et les plus répandus des botnets, du fait de sa simplicité de mise en œuvre une fois le réseau constitué. Lorsqu’il vise directement la couche applicative, ce type d’offensive prend la forme d’une attaque HTTP Flood, où chaque machine du réseau envoie des requêtes en apparence légitimes pour épuiser les ressources du serveur.

Voler des données sensibles

Une machine infectée peut être utilisée pour capter discrètement des informations sensibles, comme des identifiants de connexion, des données bancaires ou des documents confidentiels stockés sur l’appareil. Ces données sont ensuite transmises à l’attaquant via l’infrastructure de commande et de contrôle du botnet, souvent sans que la victime ne s’en rende compte avant plusieurs semaines ou mois.

Tester des identifiants volés par credential stuffing

Cette technique consiste à tester en masse des identifiants volés (souvent issus de fuites de données antérieures) sur un grand nombre de sites différents, en misant sur le fait que de nombreux utilisateurs réutilisent les mêmes mots de passe. En répartissant ces tentatives sur des milliers d’adresses IP appartenant aux appareils du botnet, l’attaquant échappe plus facilement aux mécanismes de détection basés sur le volume de tentatives par IP.

Générer de la fraude au clic publicitaire

Les appareils infectés peuvent être utilisés pour générer artificiellement des clics sur des publicités en ligne, dans le but de détourner des revenus publicitaires au profit de l’attaquant ou de nuire financièrement à un concurrent en épuisant son budget publicitaire. Ce trafic frauduleux, généré à grande échelle, est difficile à distinguer d’une activité publicitaire légitime sans outils d’analyse comportementale.

Miner des cryptomonnaies via le cryptomining

Certains botnets détournent la puissance de calcul des machines infectées pour miner des cryptomonnaies au bénéfice de l’attaquant, sans que le propriétaire de l’appareil n’en tire le moindre profit. Cette activité peut passer relativement inaperçue, si ce n’est par un ralentissement inexpliqué de l’appareil ou une surconsommation énergétique.

Diffuser massivement du spam et du phishing

Un botnet peut servir de plateforme de diffusion pour envoyer des volumes massifs d’emails de spam ou de phishing, en s’appuyant sur la réputation et les adresses IP variées des appareils infectés pour contourner les filtres anti-spam. Cette capacité de diffusion à grande échelle permet également d’alimenter le recrutement de nouveaux appareils dans le botnet, dans une logique d’auto-alimentation.

Qui contrôle un botnet, et comment ?

Le bot herder, à l’origine du contrôle

Un botnet est piloté par un attaquant — appelé bot herder ou « éleveur de bots » — qui peut agir seul, en groupe organisé, ou louer l’accès à son réseau à d’autres cybercriminels, une pratique de plus en plus répandue avec l’essor du « malware-as-a-service ». Cette prise de contrôle peut durer plusieurs mois, voire plusieurs années, sans que le propriétaire de l’appareil s’en rende compte : un botnet fonctionne d’autant mieux que les machines infectées continuent d’être utilisées normalement, sans dysfonctionnement visible qui pousserait leur propriétaire à intervenir. Ces réseaux sont d’ailleurs régulièrement loués à des groupes structurés qui les intègrent à des attaques APT, afin de masquer l’origine de leurs opérations et de les inscrire dans la durée.

L’infrastructure de commande et de contrôle (C2)

Ce contrôle s’exerce via une infrastructure de commande et de contrôle (C2) : un canal de communication par lequel l’attaquant transmet ses instructions aux machines infectées — lancer une attaque DDoS, envoyer des spams, collecter des données — et reçoit en retour les informations captées. Selon les cas, ce canal repose sur un serveur central unique, plus simple à mettre en place mais aussi plus facile à neutraliser, ou sur une architecture décentralisée en peer-to-peer, plus résiliente face aux tentatives de démantèlement.

Comment détecter un botnet ?

Plusieurs signaux doivent alerter :

• Une consommation CPU anormalement élevée au repos, sans application lourde en cours d’utilisation, qui peut indiquer une activité malveillante en arrière-plan.
• Un trafic réseau inhabituel, notamment des connexions sortantes vers des adresses IP inconnues ou peu fréquentées habituellement.
• Un ralentissement inexpliqué du système d’exploitation, avec des temps de réponse anormalement longs sans cause apparente.
• Une surconsommation de bande passante, visible via une facture internet plus élevée ou un débit ralenti sans explication.
• Des connexions répétées vers des centres de commande et de contrôle (C2) suspects, détectables via un pare-feu ou un outil de surveillance réseau.
• Un comportement anormal de la ventilation ou de la batterie, sur un ordinateur ou un smartphone, révélateur d’une activité continue en tâche de fond.

Ces signaux, pris isolément, ne suffisent pas toujours à confirmer une infection — un ordinateur peut ralentir pour d’autres raisons. C’est pourquoi il est recommandé de les croiser avec un outil de sécurité capable d’analyser le trafic et les comportements de façon plus fine, plutôt que de se fier à une seule observation.

Comment se protéger d’un botnet ?

Pour limiter les risques d’infection, plusieurs mesures de base permettent de réduire significativement l’exposition :

• Maintenir à jour ses logiciels, navigateurs et micrologiciels, pour corriger les failles de sécurité couramment exploitées par les malwares de botnet.
• Installer une solution de sécurité intégrant une protection contre les botnets actifs, capable de surveiller les connexions sortantes et de bloquer les communications vers des serveurs de commande et de contrôle connus.
• Ne jamais télécharger de pièces jointes ou cliquer sur des liens issus de campagnes de spam ou d’ingénierie sociale, ces vecteurs restant la principale porte d’entrée pour l’infection initiale.
• Changer les mots de passe par défaut des appareils connectés (routeurs, caméras, objets IoT), qui figurent parmi les cibles privilégiées des botnets comme Mirai en raison de leurs configurations souvent laissées inchangées.
• Désactiver les services ou ports inutilisés sur les appareils connectés, afin de réduire la surface d’attaque exploitable.
• Segmenter le réseau, en particulier en entreprise, pour limiter la capacité d’un appareil compromis à contaminer d’autres machines du parc.
• Surveiller les connexions via un pare-feu, en bloquant les communications vers des adresses ou centres de contrôle identifiés comme suspects.

Aucune de ces mesures n’est suffisante prise isolément : c’est leur combinaison, associée à une vigilance sur les comportements suspects, qui permet de réduire efficacement le risque d’intégrer un botnet — ou d’en limiter l’impact si un appareil venait à être compromis.

Comment UBIKA WAAP Gateway assure une protection contre les botnets ?

UBIKA WAAP Gateway adopte une approche de défense multicouche, combinant plusieurs technologies complémentaires pour détecter et bloquer les attaques automatisées à différents niveaux.

En identifiant les comportements automatisés avec Bot & Agent Management

Cette fonctionnalité combine plusieurs signaux pour identifier les comportements automatisés, même lorsqu’ils sont conçus pour imiter un usage humain : analyse comportementale, fingerprinting HTTP/TLS, analyse des sessions et de la navigation, réputation IP et ASN, et détection des agents IA (ChatGPT Agent, ClaudeBot, etc.).

En analysant le contexte des requêtes avec le moteur ICX

Ce moteur propriétaire analyse le contexte de chaque requête, ce qui lui permet de détecter aussi bien des attaques déjà connues (injections SQL, XSS) que des comportements anormaux ou des menaces émergentes, y compris des attaques encore non documentées.

En bloquant les attaques applicatives grâce à la protection DDoS

La protection intégrée cible spécifiquement les attaques de couche applicative — HTTP Flood, GET/POST Flood, attaques lentes (Slow Attacks) — grâce à un rate limiting adaptatif et une protection multicouche, capable de s’ajuster au trafic réel de l’application.

En sécurisant les API avec API Security

La sécurité des API repose sur une validation stricte des schémas OpenAPI, le blocage des requêtes non conformes, et une protection contre les vulnérabilités identifiées dans l’OWASP API Top 10 — un point d’autant plus important que les API sont une cible privilégiée des attaques automatisées.

En automatisant le déploiement avec l’intégration DevSecOps

UBIKA WAAP Gateway s’intègre aux outils DevSecOps (API, Terraform, SIEM, monitoring), ce qui permet d’automatiser le déploiement des politiques de sécurité et d’améliorer la visibilité sur les attaques, tout au long du cycle de développement des applications.

Pourquoi la protection multicouche d’UBIKA WAAP Gateway fait la différence face aux botnets ?

Combiner ces différentes technologies plutôt que de reposer sur un seul mécanisme de filtrage apporte plusieurs bénéfices concrets :

• Une détection plus fine, capable de distinguer un bot sophistiqué d’un utilisateur légitime, même lorsque le trafic malveillant imite un comportement humain.
• Une réduction des faux positifs, grâce à une analyse contextuelle plutôt qu’à des règles statiques trop rigides.
• Une protection cohérente, sur l’ensemble de la surface d’attaque : applications web, API et flux DDoS.
• Une meilleure adaptation aux menaces émergentes, y compris aux agents automatisés les plus récents.

Face à des botnets de plus en plus sophistiqués, la meilleure stratégie consiste à détecter les comportements anormaux dès les premières interactions avec l’application, plutôt que d’attendre qu’une attaque se manifeste par un volume de trafic anormal. Cette approche préventive, combinée à une protection multicouche, permet de limiter les risques de fraude, d’abus automatisés et d’indisponibilité, sans reposer sur une seule ligne de défense.

Exemples de botnets connus

Mirai, le botnet IoT qui a marqué l’histoire

Le botnet Mirai, découvert en 2016, reste l’exemple le plus emblématique : il a infecté des centaines de milliers d’objets connectés (caméras de surveillance, routeurs, DVR) pour lancer une attaque DDoS massive contre Dyn, un fournisseur d’infrastructure DNS, rendant temporairement inaccessibles des services comme Netflix, Twitter ou CNN. Son code source, publié en ligne après sa découverte, a depuis servi de base à de nombreuses variantes créées par d’autres cybercriminels.

Les botnets IRC, les pionniers du genre

Avant Mirai et les botnets IoT, les tout premiers botnets reposaient sur le protocole IRC (Internet Relay Chat), un protocole de messagerie textuelle en temps réel utilisé pour piloter les machines infectées via un canal de discussion dédié. Ce modèle centralisé, plus simple à mettre en place, a marqué le début des années 2000, avant d’être progressivement délaissé au profit d’architectures plus résilientes — notamment le peer-to-peer — face aux capacités croissantes des experts en sécurité à identifier et neutraliser ces serveurs IRC.

Botnet par plateforme : PC, IoT et smartphones

Si les botnets ont historiquement ciblé les ordinateurs personnels, le phénomène s’est largement étendu aux objets connectés avec Mirai, puis aux smartphones — notamment sous Android, où plusieurs chevaux de Troie ont été recensés au fil des années. Concrètement, n’importe quel appareil connecté à Internet peut potentiellement être détourné pour intégrer un botnet, dès lors qu’il présente une vulnérabilité exploitable.

Questions fréquentes

Quelle a été la première attaque de bots sur Internet ?

Il n’existe pas de consensus autour d’une « première » attaque par botnet unique, mais plusieurs cas emblématiques ont marqué les débuts du phénomène au tout début des années 2000. Le cas de Mafiaboy reste particulièrement connu : en l’an 2000, un hacker de 15 ans avait mis à mal CNN, Dell, eBay et Yahoo! en lançant des attaques DDoS depuis un réseau de machines universitaires compromises, pour des dommages estimés à environ 1,7 milliard de dollars.

Qu’est-ce qu’une machine zombie ?

Une machine zombie est un appareil individuel infecté, membre d’un botnet. Elle continue de fonctionner normalement pour son propriétaire tout en exécutant, en arrière-plan et à son insu, les instructions de l’attaquant. Un réseau zombie (ou botnet) est donc l’ensemble de ces machines zombies, coordonnées pour agir de façon groupée sous les ordres d’un même attaquant.

Botnet, spyware, ransomware : quelle différence entre ces trois malwares ?

Ces trois menaces partent du même point de départ — l’installation d’un malware sur l’appareil de la victime — mais divergent ensuite dans leur finalité. Le spyware reste discret : il observe et collecte des données personnelles sans chercher à aller plus loin. Le botnet change d’échelle : l’appareil infecté rejoint un réseau de milliers de machines, pilotées à distance pour agir de façon coordonnée (DDoS, spam, credential stuffing). Le ransomware, enfin, passe à l’action directe en chiffrant les fichiers de la victime pour exiger une rançon. Ces logiques ne s’excluent pas : un botnet peut justement servir de plateforme pour diffuser un ransomware à grande échelle.