Nouvelles boutiques dédiées au DDoS

Comme nous vous le révélions il y a quelques mois, les boutiques vendant du DDoS se multiplient. Les petits commerçants derrières ce type de service risque gros. En attendant, ils emmerdent le monde 2.0.

Pour les joueurs de League of Legends, vous avez très certainement du vous rendre compte que les serveurs de ce jeu en ligne avaient eu des problèmes de connexion le 9 novembre dernier. Un bug ? Une mise à jour bancale ? Non, plus simple encore, une attaque DDoS, un Déni Distribué de Service lancé par un pirate informatique se faisant appeler Cocaine. Après avoir attaqué des sites web Suédois (nordea.se, Swedbank, Zaralarsson, …), le « pirate » s’est amusé à bloquer LoL, puis des sites de diffusions de films en streaming comme Dream Film HD. Quel point commun entre des banques, du jeu vidéo, du streaming ? Le « piratin » commercialise ses attaques à partir d’un site web. Vous achetez des minutes de blocage.

https://t.co/HeoYqGUtxd has officially been hacked by CocaineSecurity. Good luck watching movies. To dreamfilm, learn from your mistakes.

— CocaineSecurity (@CocaineSecurity) November 8, 2015

De la « promo vente » que la France a connu, aussi, ces derniers jours. Des internautes, par exemple, ont attaqué des sites qui permettent de connaître le pseudo/IP d’un utilisateur de Skype, l’espace du bloggeur Cyprien Gaming ou encore le site Internet de la police du Bengladesh, en passant par des espaces web dédiés au téléchargement. L’intérêt ? Vendre des accès aux sites proposant du DDoS. Pour d’autres, se faire mousser via une nuisance 2.0 clé en main.

Utiliser un DDoS, c’est le principe du serrurier qui n’a pas le savoir-faire, ni le talent pour crocheter une serrure. Il va donc préférer déverser ses poubelles devant l’entrée de la maison, empêchant ainsi toutes possibilités de rentrer ou sortir du domicile.

Vendre du DDoS, un business juteux

De nombreux sites, Zataz en a dénombré une dizaine, proposent ce genre de commerce. L’un d’eux commercialise, pour 30 dollars américains, 1200 secondes de DDoS (216Gbps) ; pour 300$, 3600 secondes, durant deux mois. Le tout payable par carte bancaire ou bitcoin. Pour prouver sa force et sortir ses gros muscles 2.0, la boutique a fait tomber Github le 23 octobre, le site Minecraft, le 20 octobre ou encore Steam le 19 octobre. Au moment de notre visite, le commerçant affichait 60 793 utilisateurs.

A noter que certains amateurs de DDoS vendent aussi… des solutions anti DDoS et offrent des secondes gratuites, comme des échantillons dans une parfumerie, avant de vendre leurs pseudos solutions de « protection ». Pour la France, 300 secondes de DDoS coûte 3€ ; 3600 secondes, 25€. L’une des boutiques propose même une solution pour « faire crasher TOUTES les machines OVH« . Elle est commercialisée 4€ par mois.

A noter que 90 % des attaques DDoS, dans le monde, aurait durée moins de 24 heures selon Kaspersky. Le nombre d’attaques dépassant 150 heures est en nette progression. Le nombre le plus élevé d’attaques ciblant une même victime a été de 22, contre un serveur situé aux Pays-Bas. Le record d’une attaque aura été de plus de 300 heures de DDoS pour une même cible. La société Suisse ProtonMail a payé 6000 $ à un groupe de rançonneurs qui l’avait attaqué à coups de DDoS. Même après le paiement, les attaques ont continué.

En France, les services proposés sont payables par AlloPass, StarPass, Paysafecard, bitcoin ou encore Paypal. La boutique annonce avoir permis plus de 700.000 attaques. Là où cela devient cocasse, plusieurs de ses boutiques utilisent le tchat XAT. XAT propose ce service de conversion en temps réel a été piratée et sa base de données d’utilisateurs copiées.

Bref, des attaques qui peuvent faire de gros dégâts durant les fêtes de fin d’année. Bloquer des boutiques durant ces périodes charnières serait préjudiciables pour les clients et le chiffre d’affaire des magasins. Un exemple, les sites tombés en panne, lors du Black Friday, les importantes soldes britanniques.

Day 3 of trying to order bunk beds for my son every time it errors after payment!! Website is shocking!! @Argos_Online @ArgosHelpers

— Tracy Packer (@traypt) November 9, 2015