Le géant russe de l’internet Yandex est en proie à des attaques violentes depuis un mois. Un botnet dédié aux attaques DDoS, qui s’appuie sur des milliers de dispositifs compromis, et capable d’envoyer 21,8 millions de requêtes pas seconde, harcèle Yandex. Le moteur de recherche par défaut en Russie comptabilisait plus de 90 millions d’utilisateurs mensuels en 2018. Les médias russes se sont rapidement emparés de la nouvelle, citant cette attaque comme la plus importante de l’histoire de l’internet russe. Dans le détail, Mēris – qui signifie peste en letton – aurait compromis environ 250 000 appareils selon des chercheurs de l’entreprise de cybersécurité Qrator Labs. La firme indique dans un post « avoir vu les 30 000 dispositifs hôtes à travers plusieurs attaques, et Yandex a recueilli des données sur 56 000 hôtes attaquants ». Cependant, Qrator Labs suggère que le nombre est plus élevé - probablement plus de 200 000 dispositifs, en raison de la rotation et de l'absence de volonté de montrer la « pleine puissance » de l’attaque.

Mēris n’en est pas à son coup d’essai puisqu’il a été tenu responsable du plus grand volume de trafic d'attaque que Cloudflare a enregistré et atténué à ce jour, qui a ainsi culminé à 17,2 millions de requêtes par seconde (RPS). Pour déployer une attaque, les chercheurs indiquent que Mēris s'appuie sur le proxy SOCKS4 au niveau de l'appareil compromis, utilise la technique DDoS de pipelining HTTP et le port 5678. Quant aux appareils compromis utilisés, les chercheurs affirment qu'ils sont liés à MikroTik, le fabricant letton d'équipements réseau pour les entreprises de toutes tailles. Une grande majorité des appareils attaqués avaient des ports 2000 et 5678 ouverts, entre autres liés aux équipements MikroTik et utilisés pour la fonction de découverte d'équipements proches.

Yandex en perte de contrôle

Sur le blog Habr, Yandex a indiqué que « la pleine puissance du botnet n'est pas visible en raison de la rotation des appareils et du manque de volonté des attaquants de montrer toute la puissance disponible. De plus, les appareils du botnet sont des terminaux de haut niveau, et non des appareils IoT typiques connectés à un réseau WiFi ». Loin de gérer la situation, le moteur de recherche annonce qu’ « à l'heure actuelle, il peut surcharger presque toutes les infrastructures de réseau, y compris certains réseaux hautement fiables spécialement conçus pour supporter une telle charge. La principale caractéristique d'un botnet est son monstrueux RPS ».

Ci-dessus le calendrier d'une attaque DDoS sur Yandex le 5 septembre 2021. (Crédit : Yandex)

A ce jour, MikroTik a été informé de cette vulnérabilité et a déclaré au média russe Vedomosti « qu’il n’avait pas connaissance d’une autre vulnérabilité permettant de compromettre ses produits ». « Nous espérons que des efforts conjoints permettront à Internet de se débarrasser bientôt de cette pandémie de « peste » », conclut ainsi Yandex.