Résurrection de la Botnet : Plongée dans le réseau fantôme de SystemBC et ses 10 000+ machines détournées

Dans les bas-fonds obscurs de la cybercriminalité, certaines menaces refusent de mourir. SystemBC, une botnet que l’on croyait neutralisée par les forces de l’ordre, renaît de ses cendres - plus vaste, plus furtive et plus dangereuse que jamais. Les enquêteurs ont découvert un réseau tentaculaire de plus de 10 000 appareils compromis, la plupart dissimulés à la vue de tous chez les principaux hébergeurs mondiaux. Leur mission : agir comme des mercenaires numériques, lançant des attaques DDoS dévastatrices et servant de proxys invisibles pour des opérations cybercriminelles d’envergure.

Anatomie d’un Retour

SystemBC est apparue pour la première fois sur la scène de la cybercriminalité en 2019, se faisant rapidement connaître pour sa capacité à transformer des machines infectées en relais anonymes pour d’autres attaques. Malgré des opérations de démantèlement très médiatisées - notamment l’Opération Endgame d’Europol en 2024 - la botnet a non seulement survécu, mais a évolué. Des chercheurs de Silent Push ont cartographié un seul cluster SystemBC regroupant plus de 10 340 IP victimes, appartenant en majorité à des géants de l’hébergement comme Network Solutions, UnifiedLayer, Namecheap, GoDaddy et IONOS.

Contrairement aux botnets qui ciblent les ordinateurs domestiques, SystemBC vise les centres de données, exploitant leur fiabilité et leur bande passante. Les États-Unis sont les plus touchés, avec plus de 4 300 IP infectées, suivis par l’Allemagne, la France, Singapour et l’Inde. De nombreux serveurs compromis hébergent des domaines gouvernementaux sensibles - comme les sites officiels de Phutho au Vietnam et du Burkina Faso - ce qui accroît les risques pour les secteurs public et privé.

Furtivité, Échelle et Sophistication

La force de SystemBC réside dans son adaptabilité. Elle déploie des protocoles personnalisés chiffrés avec RC4, rendant son trafic quasiment invisible pour les outils de détection classiques. Un variant Linux récemment découvert, écrit en Perl, a réussi à échapper aux 62 moteurs de VirusTotal, soulignant la sophistication technique de la botnet. Une fois infiltrée dans un serveur, SystemBC peut y rester des mois, servant de tremplin pour des attaques DDoS, la diffusion de ransomwares et l’exfiltration discrète de données.

L’opération est orchestrée par un développeur connu sous le nom de “psevdo”, qui continue de publier des mises à jour sur les forums clandestins malgré la pression constante des forces de l’ordre. L’infrastructure de commande et de contrôle (C2) de la botnet est protégée par des hébergeurs « bulletproof » tels que bthoster.com et BTCloud, transformant chaque tentative de démantèlement en un jeu de chat et de la souris numérique.

SystemBC sert également d’outil de reconnaissance, scannant les sites WordPress à la recherche de vulnérabilités et préparant le terrain pour de futures exploitations. Avec des droppers comme SafeObject capables de déployer des centaines de charges malveillantes, la botnet est un véritable couteau suisse pour les cybercriminels - polyvalente, persistante et de plus en plus difficile à tracer.

Et Après ?

Le retour en force de SystemBC rappelle crûment que l’infrastructure cybercriminelle n’est que rarement détruite - elle est simplement déplacée et reconfigurée. Alors que les hébergeurs et les entreprises s’empressent de corriger les vulnérabilités, la détection précoce et la surveillance proactive sont plus cruciales que jamais. La bataille contre SystemBC est loin d’être terminée ; son évolution annonce une nouvelle ère de botnets résilients et furtifs, prêts à alimenter la prochaine vague de criminalité numérique.

WIKICROOK

• Botnet : Une botnet est un réseau d’appareils infectés contrôlés à distance par des cybercriminels, souvent utilisé pour lancer des attaques à grande échelle ou voler des données sensibles.
• Proxy SOCKS5 : Un proxy SOCKS5 fait transiter votre trafic internet par un serveur distant, masquant votre adresse IP et améliorant la confidentialité et la flexibilité d’accès en ligne.
• Attaque DDoS : Une attaque DDoS consiste à inonder un service de fausses requêtes depuis de nombreux ordinateurs, le saturant et le rendant lent ou indisponible pour les vrais utilisateurs.
• Hébergement Bulletproof : L’hébergement bulletproof est un service qui ignore les signalements d’abus, permettant aux criminels d’héberger du contenu illégal ou malveillant avec peu de risques de fermeture.
• Commande : Une commande est une instruction envoyée à un appareil ou un logiciel, souvent par un serveur C2, lui ordonnant d’exécuter des actions spécifiques, parfois à des fins malveillantes.