Jeudi, plusieurs plates-formes dont Twitter et Facebook ont subi des attaques en déni de service distribué (Distributed Denial of Service ou DDoS en anglais*).

François Paget, expert en sécurité IT et membre fondateur du groupe Avert (Anti-Virus and Vulnerability Emergency Response Team) chez McAfee, donne des précisions sur les cyber-attaques qui ont fait trembler le Net sur fonds de tensions géopolitiques entre la Russie et la Géorgie (interview réalisée le 07/08/09).

ITespresso.fr : Comment qualifiez-vous ce type d’attaques ? Est-ce un phénomène nouveau ?
François Paget : Non. Ce n’est pas nouveau mais les motivations ont changé. Au départ, on avait  recensé des attaques en déni de service distribué (DDoS*) « pour s’amuser » puis les réseaux de cyber-criminels intéressés par l’argent ont pris le relais pour faire du chantage. Avec la vague de cyber-attaques en Estonie en 2007, on a découvert une nouvelle forme d’attaques plus politiques qui sont réalisées par des « patriotes » et qui se développent. Une technique qui permet de faire passer des messages. Dans ce cas précis, il s’agissait surtout de faire taire une communication des adversaires et les couper du Net.

ITespresso.fr : Mais, l’année dernière, des plates-formes comme Twitter ou Facebook n’ont pas été visées par les cyber-attaques liées aux tensions géo-politiques entre la Géorgie et la Russie…
François Paget : Dans le cas des attaques repérées dans la journée de jeudi, c’est un blogueur pro-géorgien qui a été visé en premier lieu. En l’état actuel, on ignore si les pirates ont souhaité mettre à plat les services Internet. On ne peut pas non plus exclure le cas d’un règlement de compte individuel. Lors du conflit entre la Géorgie et la Russie survenu dans le courant de l’été 2008, ce sont surtout des sites d’information et gouvernementaux qui ont été visés et pas des grands services Internet.

ITespresso.fr : Concrètement, comment analysez-vous la procédure d’attaque ?
François Paget : L’attaque n’a pas été menée à partir du simple identifiant Cyxymu. C’est une adresse complète du réseau social avec le nom de l’utilisateur comme extension qui a été utilisée (ex : http://www.twitter.com/cyxymu). Même topo pour YouTube. C’est un peu différent pour LiveJournal. C’est juste une question de paramètres mais on peut parler de six attaques différentes.

(lire la fin de l’interview page 2)