Votre routeur poussiéreux, celui que vous n’avez pas touché depuis son installation, intéresse beaucoup Moscou. Le gouvernement américain avertit que des acteurs liés à l’État russe exploitent des équipements Internet exposés pour s’inviter dans des réseaux, pendant que les proxys résidentiels servent de plus en plus à brouiller l’origine du trafic.
L’alerte s’inscrit dans une série d’avertissements coordonnés par la CISA, l’agence américaine de cybersécurité, et plusieurs partenaires étrangers. La cible privilégiée n’a rien d’exotique : routeurs mal configurés, non patchés ou encore protégés par les identifiants sortis d’usine. Avec un risque appuyé pour les opérateurs d’infrastructures critiques.
Points clés
- La CISA et des partenaires étrangers alertent sur des acteurs russes ciblant les routeurs exposés, notamment via SNMP
- Les attaquants visent configs, identifiants stockés et paramètres réseau pour progresser dans les systèmes
- Le réseau de proxy résidentiel NetNut, environ 2 millions d’appareils compromis, a été perturbé le 3 juillet
- Parade recommandée : firmwares à jour, SNMPv3, mots de passe uniques et coupure de l’admin à distance
Pas seulement un tuyau, aussi un coffre-fort mal fermé
Les assaillants ne se contentent pas de faire transiter leur trafic. Ils visent les fichiers de configuration des routeurs, les identifiants stockés et les paramètres réseau qui servent ensuite de tremplin pour aller plus loin chez la victime.
Le mode opératoire cible des équipements accessibles depuis Internet, notamment ceux exposés en SNMP, le protocole de gestion réseau utilisé pour administrer les appareils. La consigne pour les défenseurs : couper l’accès externe à ces services quand c’est possible, troquer SNMPv1 et SNMPv2 contre SNMPv3, changer les chaînes communautaires par défaut et tenir les firmwares à jour.
Recommandations de l’advisory : bloquer les accès externes à SNMP, TFTP et Smart Install lorsque c’est possible, utiliser des mots de passe forts et uniques, et surveiller les requêtes SNMP inhabituelles ciblant des objets sensibles.
Le périmètre dépasse largement le salon. Communications, défense, énergie, services financiers, administrations et santé figurent parmi les secteurs les plus exposés. Le dénominateur commun ne varie pas : un routeur en bordure de réseau, mal configuré ou oublié, suffit à ouvrir une porte que personne ne surveille.
Le marché des proxys résidentiels brouille les pistes
L’alerte tombe alors que les proxys résidentiels attirent l’œil des autorités américaines. Ces services routent le trafic via de vraies connexions domestiques, ce qui permet de maquiller des activités malveillantes en trafic de foyer lambda. Une enquête relayée par Nextgov évoquait fin juin des dizaines de millions d’adresses IP résidentielles présentes sur ce marché et plus de 20 millions de connexions américaines collectées chaque année.
Les démantèlements s’enchaînent en réponse. Le 3 juillet, autorités américaines et acteurs du privé ont perturbé NetNut, présenté comme un réseau de proxy résidentiel d’environ 2 millions d’appareils compromis. Box multimédia, objets connectés et routeurs grand public, tout ce petit monde finit enrôlé dans une infrastructure de masquage à grande échelle, à l’insu de leurs propriétaires.
Pour l’utilisateur, la parade tient en une routine peu glamour mais efficace : vérifier les mises à jour, remplacer le matériel en fin de vie, désactiver l’administration à distance quand elle ne sert à rien et faire le ménage dans les paramètres exposés. Bref, traiter son routeur comme un ordinateur plutôt que comme un meuble.
