Un botnet de plus de 17 millions d'appareils démantelé lors d'une opération internationale coordonnée
Lors d'une opération internationale impliquant Europol, le FBI et 12 autorités policières nationales, le vaste botnet appelé BadBox 3.0, comprenant plus de 17 millions d'appareils basés sur Android, a été démantelé. Selon le journaliste sécurité d'Ars Technica Dan Goodin, l'opération a été achevée le 28 mai et a été menée sous le nom de code « Operation MORPHEUS ».
BadBox 3.0 est une variante renouvelée des versions précédentes BadBox et BadBox 2.0. Sa cible principale est constituée de boîtiers Android TV bon marché, de tablettes et de projecteurs intelligents — en particulier les produits « fausse marque » importés à bas prix de Chine. Les appareils, avec un logiciel malveillant intégré au niveau du fabricant dans le micrologiciel d'usine, se connectaient à des serveurs C2 (Command and Control) immédiatement après la configuration utilisateur.
Les principales fonctions du botnet étaient: (1) la fraude publicitaire — générer de faux clics et de fausses impressions; (2) le service de proxy résidentiel — louer les connexions internet des appareils pour que d'autres criminels puissent dissimuler leurs adresses IP; (3) le vol de comptes — tentatives d'accès non autorisées sur des comptes bancaires, de réseaux sociaux et de commerce électronique. Selon le rapport d'Europol, le botnet a généré environ 3,2 milliards de dollars de trafic frauduleux au cours des 18 derniers mois.
Le directeur adjoint de la division cybernétique du FBI, Joshua Skule, a déclaré dans un communiqué: « L'opération BadBox 3.0 prouve que la coopération internationale est notre arme la plus efficace contre les logiciels malveillants. Il est essentiel que les fabricants d'appareils accordent de l'attention à la sécurité de la chaîne d'approvisionnement. » La directrice d'Europol, Catherine De Bolle, a déclaré: « Les autorités policières d'Allemagne, de France, des Pays-Bas, de Pologne, de Roumanie, d'Espagne, d'Italie, du Royaume-Uni, d'Australie, du Japon et de Corée du Sud ont joué des rôles actifs dans l'opération. »
L'opération a impliqué la saisie de 41 serveurs C2 contrôlant BadBox 3.0 et la neutralisation du botnet par la technique de DNS sinkholing. Les travaux d'analyse médico-légale numérique se poursuivent au centre de coordination tenu à l'unité Hessen de la police fédérale allemande.
Le groupe de recherche sur les menaces Satori Threat Intelligence Team de l'entreprise de cybersécurité Human Security a découvert BadBox 3.0 à la fin de 2024. Le PDG de Human Security, Tamer Hassan, a déclaré dans un communiqué: « Nos trois années de recherche sur BadBox ont constitué le fondement du succès de l'opération. La nature de compromission de la chaîne d'approvisionnement de ce botnet montre un modèle de menace différent des vecteurs d'infection traditionnels liés à la négligence des utilisateurs. »
Un porte-parole de l'équipe Android Security de Google a déclaré dans un communiqué: « La plupart des appareils affectés par BadBox 3.0 exécutaient des versions Android non certifiées par Google Play Protect. Il est conseillé aux consommateurs d'acheter uniquement des appareils certifiés Google et d'appliquer des mises à jour de sécurité régulières. » Le groupe de recherche en sécurité Talos de Cisco a mis à jour ses directives de protection d'entreprise contre BadBox 3.0.
La Federal Trade Commission (FTC) américaine a émis un avis consommateurs; elle a partagé une liste de faux appareils Android à moins de 50 dollars disponibles sur les plateformes de commerce électronique telles que Amazon, eBay et Walmart. Andrew Ferguson, successeur de la commissaire Lina Khan, a déclaré dans un communiqué: « Nous appelons les consommateurs à la prudence lors de l'achat d'appareils bon marché; nous préparons un nouveau cadre réglementaire sur les audits de sécurité de la chaîne d'approvisionnement. »
Du côté turc, l'Autorité des Technologies de l'Information et de la Communication (BTK) a émis un avis utilisateur contre BadBox 3.0. Le vice-président de la BTK, le Dr Omer Abdullah Karagozoglu, a déclaré: « Parmi les appareils affectés par BadBox 3.0 peuvent figurer des modèles de boîtiers Android TV bon marché entrant en Turquie; il est important que les utilisateurs préfèrent des appareils certifiés. » La BTK a également annoncé un plan visant à renforcer le contrôle douanier de ces faux appareils Android entrant en Turquie.
L'opération BadBox 3.0 constitue une étape importante dans les enquêtes internationales sur la cybercriminalité. Les données médico-légales obtenues après l'opération aideront à comprendre la structure de l'écosystème mondial de la cybercriminalité. Europol a déclaré que les renseignements obtenus de l'opération BadBox 3.0 contribueraient également au démantèlement d'autres botnets et réseaux de fraude. Il est conseillé aux consommateurs d'être prudents lors de l'achat d'appareils Android bon marché, d'appliquer des mises à jour de sécurité régulières et de privilégier les appareils certifiés Google Play Protect. Cet article ne remplace pas un conseil individuel en matière de cybersécurité; en cas de doute sérieux, il convient de consulter des professionnels de la sécurité de l'information.