Le botnet NECURS décapité dans une opération internationale

Mardi 10 mars 2020, Microsoft et ses partenaires dans plus 35 pays ont engagé des mesures juridiques et techniques coordonnées pour démanteler l’un des botnets les plus puissants au monde nommé Necurs, qui a infecté plus de neuf millions d’ordinateurs dans 211 pays.

Résultat de huit années d’investigations et de planification, ce démantèlement permettra de garantir que les criminels derrière ce réseau ne soient plus en mesure de faire usage des éléments clés de son infrastructure pour lancer des cyberattaques. En France, Microsoft a activement collaboré avec le CSIRT-PJ de la sous-direction de la lutte contre la cybercriminalité pour identifier et récupérer les dispositifs compromis.

Bloquer et rendre sourd !

Comme l’indique Microsoft sur son blog, au cours d’une période de 58 jours, l’entreprise a pu observer qu’un seul ordinateur infecté par Necurs avait envoyé un total de 3,8 millions de spams à plus de 40,6 millions de victimes potentielles. Necurs permet aussi de diffuser des ransomwares. Il dispose un module qui permet de lancer des attaques en déni distribué de service (DDoS).

Le jeudi 5 mars 2020, la Cour Fédérale des États-Unis de l’Est de New York a rendu une ordonnance autorisant Microsoft à prendre le contrôle de l’infrastructure basée aux États-Unis qu’utilise Necurs pour diffuser les logiciels malveillants et infecter les ordinateurs des victimes.

Avec cette action en justice, conduite grâce à plusieurs partenariats public-privé dans le monde entier, Microsoft mène des actions afin d’empêcher les criminels responsables de Necurs d’enregistrer de nouveaux noms de domaines et de lancer de futures cyberattaques.

Attaquer les racines du mal

Necurs utilise un générateur de domaine (DGA). Cela lui permet de nouer les espaces de commandes et les machines piégées (zombies). La technique permet aux pirates d’avoir toujours un serveur sous la main en cas d’indisponibilité des autres connexions. S’attaquer à la premiére racine permet de bloquer toutes autres veleités de cet objet pirate.

En France, près de 100 000 victimes ont été détéctées.

En juin 2019, le botnet Necurs était tombé en panne, réduisant la diffusion des codes malveillants tels que Locky ou encre Dridex.