Qu’est-ce qu’un botnet ? Comment des hôtes compromis transforment votre espace IP en infrastructure d’attaque
Un botnet est un réseau d’ordinateurs ou d’appareils compromis exécutant un logiciel malveillant qui permet à un seul opérateur de les contrôler tous à distance. Chaque machine infectée est appelée un « bot », la personne qui les contrôle est appelée le « bot herder », et le canal par lequel les commandes sont envoyées est appelé command and control (C2). Ensemble, ils forment une plateforme distribuée qui peut être dirigée vers n’importe quelle cible choisie par l’opérateur.
Les botnets sont généralement décrits du point de vue de la cible : le site mis hors ligne, les comptes vidés, la boîte de réception saturée. Mais chaque botnet fait aussi une seconde victime, et c’est à elle que cet article s’adresse : l’opérateur dont l’espace d’adressage héberge les bots. Lorsque des machines utilisant vos adresses IP sont compromises, l’attaquant ne se contente pas d’exploiter la puissance de calcul de quelqu’un d’autre. Il utilise également votre réputation IP pour mener ses opérations. Le spam, les scans et le trafic d’attaque proviennent de vos adresses, sont attribués à vos adresses et génèrent des inscriptions sur des listes de blocage ainsi que des rapports d’abus qui peuvent continuer à affecter vos adresses longtemps après que le logiciel malveillant a été supprimé de la machine.
Cette asymétrie explique pourquoi les botnets méritent l’attention de toute personne responsable d’un espace IPv4 public, et pas uniquement des équipes de sécurité. Cet article explique ce qu’est un botnet et comment il fonctionne, pourquoi il dégrade la réputation d’une plage entière plutôt que d’une seule adresse, pourquoi le trafic de botnet est particulièrement difficile à attribuer, comment reconnaître les hôtes compromis dans votre propre espace d’adressage et comment les responsabilités se répartissent lorsque cet espace est loué.
Qu’est-ce qu’un botnet?
-
- Bot. Un appareil individuel compromis qui exécute le logiciel malveillant. Il peut s’agir d’un serveur, d’un ordinateur de bureau, d’un routeur, d’une caméra ou de tout autre appareil connecté disposant de capacités suffisantes pour être exploité.
-
- Bot herder (ou bot master). L’opérateur qui contrôle l’ensemble du botnet et décide de ce qu’il doit faire.
-
- Command and control (C2). Le canal de communication par lequel les instructions sont envoyées aux bots et les résultats sont renvoyés. Le C2 est ce qui transforme un ensemble dispersé d’infections indépendantes en un système coordonné — sans lui, il ne s’agirait que de machines compromises individuellement.
Comment fonctionnent les botnets
Un botnet fonctionne en trois étapes : l’infection, le contrôle et l’action coordonnée.
- Infection. Un logiciel malveillant atteint un appareil et s’y installe, généralement de manière à persister discrètement après les redémarrages et à éviter de produire des symptômes que le propriétaire pourrait remarquer. Les logiciels malveillants modernes utilisés dans les botnets installent souvent des composants supplémentaires au fil du temps plutôt que d’arriver sous la forme d’un package complet dès le départ.
- Contrôle. La machine infectée contacte une infrastructure de command and control afin de s’enregistrer et d’attendre des instructions. Ce comportement de connexion régulière — des contacts répétés et structurés avec une infrastructure externe — constitue l’un des signaux de détection les plus fiables, puisqu’il s’agit d’une activité effectuée par la machine sans que son propriétaire l’ait demandée.
- Action coordonnée. L’opérateur envoie des instructions, et une partie ou la totalité des bots agissent simultanément : en dirigeant du trafic vers une cible, en envoyant du spam, en relayant des connexions, en scannant des plages d’adresses ou en collectant des données. Le même ensemble de bots peut être réaffecté à différentes activités selon les jours.
Une caractéristique structurelle est importante pour la suite de cet article : ce sont les bots qui exécutent les actions, de sorte que le trafic porte leurs adresses IP, et non celle de l’opérateur. Le bot herder peut se trouver n’importe où ; ce que les cibles et les systèmes de réputation voient, c’est l’adresse d’une machine compromise située sur le réseau légitime de quelqu’un d’autre. C’est précisément l’objectif de cette architecture, et c’est pourquoi l’opérateur dont l’espace d’adressage héberge le bot en subit les conséquences.
Comment les appareils sont-ils recrutés dans un botnet ?
-
- Vulnérabilités non corrigées. Exploitation de failles connues dans les systèmes d’exploitation, les applications et les services exposés au réseau. Les systèmes mal entretenus sont surreprésentés dans les botnets pour une raison évidente.
-
- Identifiants faibles ou par défaut sur des services exposés. Les tentatives automatisées visant les interfaces de connexion accessibles depuis Internet — SSH, RDP, panneaux d’administration et services similaires — réussissent régulièrement lorsque les identifiants sont faibles, réutilisés ou laissés à leurs valeurs par défaut.
-
- Phishing et pièces jointes malveillantes. La voie classique visant directement l’utilisateur, qui permet de diffuser des logiciels malveillants via des liens et des fichiers transmis par e-mail.
-
- Drive-by downloads. Installation de logiciels malveillants via des sites Web compromis ou malveillants, sans action volontaire de la part de l’utilisateur.
-
- Appareils IoT et embarqués utilisant leurs paramètres par défaut. Les caméras, routeurs et appareils similaires livrés avec des identifiants par défaut et rarement mis à jour sont devenus une importante source de recrutement pour les botnets, car ils sont nombreux, constamment connectés et rarement surveillés.
À quoi servent les botnets ?
-
- Attaques DDoS. C’est l’utilisation la plus connue : des milliers de bots dirigent simultanément du trafic vers une même cible. Cette nature distribuée rend les attaques difficiles à filtrer selon leur source et influence directement les défenses décrites dans notre guide sur l’atténuation des attaques DDoS.
-
- Distribution de spam. Envoi d’e-mails non sollicités depuis de nombreux hôtes compromis plutôt que depuis une infrastructure facilement identifiable — historiquement l’un des usages les plus importants en volume.
-
- Vol d’identifiants et de données. Collecte de mots de passe, d’informations financières et d’autres données à partir de machines infectées.
-
- Attaques distribuées contre les identifiants. Répartition des tentatives de connexion entre de nombreux bots afin que chaque source reste sous les seuils de détection.
-
- Scan et reconnaissance. Analyse systématique de plages d’adresses afin d’identifier d’autres hôtes vulnérables — à la fois pour agrandir le botnet et pour constituer des listes de cibles.
-
- Relais proxy. Utilisation d’hôtes compromis pour relayer le trafic de l’opérateur, dissimulant ainsi son origine réelle derrière l’adresse d’une machine légitime.
-
- Fraude au clic et cryptominage. Monétisation de la capacité cumulée du botnet — soit en générant du trafic publicitaire frauduleux, soit en exploitant la puissance de calcul collective des appareils infectés à l’insu de leurs propriétaires.
Pourquoi les botnets nuisent-ils à votre réputation IP?
L’activité d’un botnet provenant de votre espace d’adressage est attribuée à votre espace d’adressage, et les dommages qui en résultent pour la réputation affectent généralement une plage entière, et pas seulement l’adresse individuelle compromise. C’est un coût qui retombe sur l’opérateur plutôt que sur la cible, et ses effets peuvent durer bien après la fin de l’infection.
Le mécanisme comporte trois éléments :
Premièrement, l’attribution suit l’adresse. Lorsqu’un bot envoie du spam ou attaque une cible, le destinataire voit une adresse IP source appartenant à votre espace. Les opérateurs de listes de blocage, les systèmes de réputation et les fournisseurs de messagerie enregistrent l’activité contre cette adresse, tandis que les rapports d’abus sont envoyés au abuse contact enregistré pour le bloc — un processus expliqué en détail dans notre guide sur les abus réseau et le traitement des rapports d’abus. Rien dans cette chaîne n’identifie directement l’opérateur réel ; c’est l’adresse qui est enregistrée.
Deuxièmement, les techniques d’évasion étendent les dommages à plusieurs plages d’adresses. Les opérateurs de botnets maintiennent volontairement l’activité de chaque hôte à un faible niveau afin de rester sous les seuils de détection — en envoyant un plus petit volume de spam depuis un plus grand nombre d’hôtes compromis, plutôt qu’un volume élevé depuis quelques machines. Les recherches sur les botnets diffusant du spam documentent précisément cette évolution : réduire le volume envoyé par chaque hôte compromis afin d’échapper aux systèmes anti-spam. Pour les opérateurs réseau, la conséquence est que les abus liés aux botnets ont tendance à toucher légèrement un grand nombre d’adresses plutôt qu’à affecter fortement une seule adresse. C’est ainsi qu’un seul incident de compromission peut dégrader la réputation de toute une plage d’adresses voisines — y compris de certaines qui n’ont jamais été compromises.
Troisièmement, la réputation se rétablit lentement. Nettoyer la machine infectée arrête l’émission de trafic malveillant, mais n’efface pas les enregistrements déjà créés. Les inscriptions sur les listes de blocage nécessitent généralement une procédure de retrait, les scores de réputation se reconstruisent progressivement et la délivrabilité des e-mails depuis les adresses concernées peut rester affectée longtemps après la remédiation — des mécanismes décrits dans notre guide sur la réputation des adresses IP.
En pratique, on peut résumer la situation ainsi : un hôte compromis représente un incident de sécurité qui peut se mesurer en heures, tandis que les dommages qu’il cause à la réputation peuvent se mesurer en semaines ou en mois, sur un actif dont dépendent tous les services que vous exploitez.
Pourquoi le trafic des botnets est-il difficile à attribuer ?
Plusieurs caractéristiques de l’adressage moderne rendent l’activité des botnets particulièrement difficile à relier à des machines précises, ce qui complique à la fois la défense et la gestion des contestations.
Changement dynamique des adresses. Les hôtes infectés utilisant des connexions grand public changent constamment d’adresse à mesure que les FAI les réattribuent. Une étude académique de référence consacrée au botnet Torpig a montré que cet effet était si marqué que les hôtes infectés apparaissaient avec une nouvelle adresse presque à chaque connexion. Un hôte a notamment été observé en train de changer d’adresse 694 fois en dix jours — et la même machine apparaissait dans différents sous-réseaux /16 au sein du même système autonome. La conséquence est que le comptage basé sur les adresses surestime fortement la taille réelle d’un botnet, et que « l’adresse qui s’est mal comportée hier » peut aujourd’hui appartenir à un abonné totalement différent.
Adresses partagées. Lorsque les opérateurs placent de nombreux abonnés derrière une seule adresse publique — selon le modèle CGNAT utilisé par la plupart des opérateurs mobiles et de nombreux fournisseurs haut débit — un seul appareil infecté peut entraîner le signalement de l’adresse partagée, affectant ainsi tous les utilisateurs légitimes qui se trouvent derrière elle. Depuis l’extérieur, il est impossible d’attribuer précisément l’activité à une machine particulière.
Dissimulation délibérée de l’origine. Les bots sont précisément utilisés comme relais afin que le trafic propre de l’opérateur semble provenir d’un hôte compromis. Par ailleurs, les attaquants peuvent également falsifier complètement les adresses source, comme expliqué dans notre guide sur l’IP spoofing. Dans ce cas, vos adresses peuvent apparaître dans du trafic d’attaque qui n’a en réalité jamais traversé votre réseau.
Pour un opérateur, cela signifie qu’être signalé ne constitue pas une preuve de compromission locale, et qu’être techniquement exempt de compromission ne garantit pas non plus d’être considéré comme innocent par un système de réputation. Dans les deux cas, des éléments de preuve sont nécessaires — c’est pourquoi la conservation des journaux et des enregistrements de trafic est aussi importante pour défendre votre espace d’adressage que pour enquêter sur un incident.
Signes indiquant que votre réseau héberge des machines compromises
Les hôtes compromis se révèlent par leur comportement sortant, et non par des signes nécessairement visibles directement sur la machine. Les signaux à surveiller sont les suivants :
- Volume de trafic sortant inexpliqué. Une activité sortante soutenue qui ne correspond pas à la fonction normale du système — en particulier sur des serveurs dont les schémas habituels sont prévisibles.
- Volume d’e-mails inattendu. Du trafic SMTP sortant provenant d’hôtes qui ne devraient pas envoyer d’e-mails, ou une augmentation soudaine du volume sur ceux qui en envoient normalement.
- Scan sortant. Vos adresses sondent de larges plages d’hôtes externes — un indicateur fort de compromission ou d’utilisation abusive.
- Contacts répétés et structurés avec une infrastructure externe inconnue. Le comportement de connexion périodique associé aux communications C2 tend à être régulier et automatisé d’une manière qui ne ressemble pas au trafic ordinaire.
- Rapports d’abus. Ils constituent souvent la première notification reçue par un opérateur, ce qui explique pourquoi un abuse contact fonctionnel et réellement surveillé est autant un mécanisme de détection qu’une obligation administrative.
- Apparition sur des listes de blocage. Si vous découvrez que vos adresses sont répertoriées, en particulier sans cause évidente, il convient d’enquêter sur une éventuelle compromission plutôt que de supposer immédiatement qu’il s’agit d’une erreur.
- Anomalies de ressources. Une charge CPU inexpliquée peut indiquer la présence de composants de cryptominage, qui font justement partie des charges malveillantes les plus faciles à détecter en raison de leur consommation de ressources.
Le point commun entre tous ces signaux est que la détection repose sur l’observation de ce qui quitte votre réseau. La surveillance du trafic entrant vous indique les tentatives dirigées contre vous ; la surveillance du trafic sortant vous indique si votre réseau est devenu une composante de l’opération de quelqu’un d’autre.
Botnets et IPv4 louées : une responsabilité partagée
-
- Le locataire sécurise ses systèmes, surveille le trafic sortant, agit rapidement sur les rapports qui lui sont transmis et reconnaît que la réputation qui se dégrade est un actif partagé associé à des adresses qu’il continuera d’utiliser.
-
- Le détenteur ou le bailleur maintient un abuse contact réellement surveillé, transmet les rapports rapidement et clairement, surveille la réputation de l’espace d’adressage et procède à une escalade lorsque la remédiation n’a pas lieu.
Comment empêcher vos systèmes de rejoindre un botnet ?
-
- Appliquer rapidement les correctifs. Les vulnérabilités connues mais non corrigées dans les services exposés à Internet figurent parmi les voies d’exploitation les plus régulièrement utilisées.
-
- Éliminer les identifiants faibles et par défaut. Cela est particulièrement important pour tout système exposé à Internet, et encore davantage pour les appareils embarqués et IoT, sur lesquels les identifiants par défaut restent souvent inchangés après le déploiement.
-
- Restreindre les interfaces de gestion exposées. SSH, RDP et les panneaux d’administration ne devraient pas être directement accessibles depuis l’ensemble d’Internet lorsqu’il est possible d’utiliser une allowlist, un VPN ou un bastion.
-
- Filtrer les adresses source du trafic sortant. Veiller à ce que le trafic quittant votre réseau utilise uniquement les adresses que vous détenez légitimement empêche un hôte compromis d’émettre du trafic avec une adresse source falsifiée en votre nom.
-
- Appliquer des limites de débit sortant. Limiter le volume d’e-mails sortants et le rythme des connexions permet de transformer une compromission potentiellement catastrophique en incident contenu, en plafonnant les dégâts qu’un bot peut causer avant d’être détecté.
-
- Surveiller le trafic sortant. C’est l’une des pratiques les plus importantes, car elle permet de détecter une compromission avant même l’arrivée des rapports d’abus.
- Auditer les services exposés. Identifiez précisément ce qui est accessible depuis Internet dans votre espace d’adressage et fermez tout ce qui n’a pas besoin de l’être.
Liste de contrôle pratique
- Surveillez le trafic sortant afin de détecter les anomalies de volume, les envois d’e-mails inattendus et les activités de scan provenant de votre espace d’adressage.
- Maintenez les systèmes exposés à Internet à jour, avec un processus de correctifs défini plutôt que des mises à jour ponctuelles.
- Éliminez les identifiants par défaut et les mots de passe faibles, en particulier sur les appareils exposés et embarqués.
- Restreignez l’accès aux interfaces de gestion au lieu de les exposer directement à Internet.
- Mettez en place un filtrage des adresses source du trafic sortant ainsi que des limites de débit sortant.
- Maintenez un abuse contact réellement surveillé — il constitue souvent votre première notification en cas de compromission.
- Surveillez la réputation de votre espace d’adressage, y compris les plages qui ne sont pas actuellement fortement utilisées.
- Conservez des enregistrements de trafic suffisants pour déterminer ce qui a réellement — ou non — été émis depuis votre réseau.
- Disposez d’un processus de réponse défini : isoler le système, effectuer la remédiation, identifier le point d’entrée, répondre aux rapports et demander le retrait des listes de blocage si nécessaire.
- Pour les espaces loués, confirmez par écrit comment les rapports d’abus sont transmis et qui est responsable de leur traitement.
- Après tout incident, vérifiez les adresses environnantes afin d’identifier d’éventuels impacts sur la réputation ou d’autres systèmes compromis.
Conclusion
Un botnet est un réseau de machines compromises placées sous le contrôle à distance d’un seul opérateur, coordonnées par une infrastructure de command and control (C2) et utilisées pour mener des attaques DDoS, envoyer du spam, voler des identifiants, effectuer des scans, relayer du trafic via des proxys, commettre des fraudes ou réaliser du cryptominage. L’accès à ces botnets est souvent loué à des tiers qui souhaitent disposer de capacités d’attaque sans avoir à construire leur propre infrastructure. Les appareils sont recrutés par l’exploitation de vulnérabilités non corrigées, d’identifiants faibles sur des services exposés, de campagnes de phishing, de drive-by downloads ou encore de paramètres par défaut non sécurisés sur des appareils IoT mal entretenus. Le logiciel malveillant est conçu pour persister discrètement, sans donner au propriétaire de signe évident de compromission.
Pour toute personne qui exploite un espace IPv4 public, le changement de perspective essentiel consiste à comprendre qu’un botnet fait deux victimes : la cible qu’il attaque et le réseau dont les adresses sont utilisées pour lancer l’attaque. Le trafic du botnet utilise vos adresses, de sorte que les conséquences s’accumulent sur leur réputation. Et comme les opérateurs répartissent volontairement l’activité sur de nombreux hôtes afin d’échapper à la détection, les dommages ont tendance à affecter des plages entières plutôt qu’une seule adresse. Parallèlement, les changements fréquents d’adresses dynamiques et les adresses publiques partagées par les opérateurs rendent l’attribution précise réellement difficile. Les mesures de défense en découlent directement : surveiller le trafic sortant, maintenir les systèmes exposés à jour et correctement protégés par des identifiants solides, filtrer et limiter le trafic quittant votre réseau, conserver un abuse contact réellement surveillé et réagir rapidement lorsqu’un incident se produit. En appliquant ces mesures, une compromission reste un incident ponctuel. En les négligeant, elle peut devenir un coût durable supporté par l’espace d’adressage dont dépendent tous vos services.
Foire aux questions
A botnet is a group of computers or devices infected with malware that lets one attacker control them all at once. The owners usually have no idea, and the attacker uses the combined machines to send spam, launch attacks, steal data, or relay traffic.
A bot herder, also called a bot master, is the person or group controlling a botnet. They issue instructions to the infected machines through command-and-control infrastructure and decide what the botnet is used for — or rent that capability out to others.
No. A brute-force attack is a method — systematically trying credentials until one works. A botnet is infrastructure — a network of compromised machines. They overlap because botnets are often used to run distributed credential attacks, and because successful credential guessing is one way machines get recruited into botnets, but neither requires the other..
DDoS attacks, spam distribution, credential and data theft, distributed login attacks, scanning for further vulnerable hosts, relaying traffic to conceal the attacker’s origin, click fraud, and cryptomining. Access to botnets is also commonly rented out to other criminals.
Significantly. Traffic from compromised hosts is attributed to your addresses, producing blocklist entries and abuse reports. Because operators spread activity thinly across many hosts to evade detection, the damage often affects surrounding addresses too, and reputation recovers far more slowly than the infection takes to clean.
Yes, and it creates a coordination problem: abuse reports reach the registered holder’s abuse contact, while only the lessee can isolate and clean the infected machine. The lease should define how reports are relayed, who responds, escalation terms, and whether the lessor assists with delisting.
Fix the underlying compromise first, since delisting generally requires demonstrating the issue is resolved. Then respond to any outstanding abuse reports, work through the removal processes of the blocklists involved, check surrounding addresses for impact, and allow time reputation rebuilds gradually rather than immediately.
NAS signifie Network Attached Storage, ou stockage en réseau. Il s’agit d’un dispositif de stockage dédié qui se connecte à Read more
僵尸网络（Botnet）是由一组遭到入侵的计算机或设备组成的网络，这些设备运行恶意软件，使单一操作者能够远程控制所有设备。 每一台被感染的设备都称为一个“Bot”，控制这些设备的人通常称为“Bot Herder”，而用于发送指令的通信渠道则称为命令与控制（Command and Control，C2）。这些设备共同组成一个分布式平台，可以按照操作者的意图针对任何目标发起活动。人们通常从攻击目标的角度理解僵尸网络，例如网站被攻击至离线、账户资金被盗，或邮箱被大量垃圾邮件淹没。但每一个僵尸网络事件中，其实还存在第二类受害者，而这正是本文重点关注的对象：那些其地址空间中运行着僵尸网络节点的网络运营商。当您 IP 地址上的设备遭到入侵时，攻击者利用的不只是别人的计算资源，他们同时也在消耗您的 IP 地址信誉。垃圾邮件、扫描流量以及攻击流量都会从您的地址发出，被归因到您的地址，并因此产生封锁名单记录和滥用报告。即使设备上的恶意软件后来已经被清除，这些负面记录仍可能继续跟随您的 IP 地址。正是这种不对称性，使得僵尸网络不仅仅是安全团队需要关注的问题，任何负责管理公共 IPv4 地址空间的人都应该了解它。本文将介绍什么是僵尸网络以及它如何运作，为什么僵尸网络会在整个地址范围层面损害 IP 地址信誉，而不仅仅影响单个地址；为什么僵尸网络流量特别难以准确归因；如何识别自己地址空间中已经遭到入侵的主机；以及当相关地址空间属于租赁 IPv4 时，地址持有方与实际使用方之间的责任应如何划分。 什么是僵尸网络 僵尸网络（Botnet）是由一组连接互联网并感染恶意软件的设备组成的网络，这些设备因此受到同一个操作者的协调远程控制。 从设备所有者的角度来看，这些设备通常仍然能够正常运行，而这恰恰是恶意软件设计的目标——如果一个 Read more
A botnet is a network of compromised computers or devices running malicious software that lets a single operator control them Read more
