Le Forum économique mondial de Davos 2024 a été marqué par une hausse significative des attaques DDoS. Il a été observé plus de 1 400 attaques ciblant les infrastructures suisses, doublant ainsi le volume enregistré en décembre.

Chaque année, le Forum économique mondial (WEF) de Davos attire des chefs d’État, des dirigeants d’entreprise et des figures influentes du monde entier. Cet événement, où se discutent les grandes orientations économiques et géopolitiques, est aussi une cible privilégiée des cyberattaques. Entre le 20 et le 24 janvier 2024, une activité DDoS inhabituelle a été détectée par l’équipe ASERT de NETSCOUT. Plus de 1 400 attaques ont été recensées, visant principalement les infrastructures télécoms et cloud suisses. Ces attaques ont culminé à 426 Gbps, mettant en évidence l’implication possible de groupes hacktivistes comme NoName057(16), connu pour ses campagnes de cyber-perturbation. Cet article décrypte cette vague d’attaques, ses méthodes et ses cibles, tout en soulignant les enjeux de cybersécurité lors d’événements d’envergure mondiale.

L’augmentation des attaques DDoS : Une menace persistante

Durant les cinq jours du Forum, ASERT a observé une activité DDoS environ deux fois plus importante qu’en décembre. Cette augmentation a été particulièrement marquée aux moments clés de l’événement, notamment lors des interventions de figures politiques de premier plan.

« Les attaques DDoS lors d’événements internationaux ne sont pas un hasard. Elles cherchent à perturber les communications et à envoyer un message politique ou idéologique. »

Le 19 janvier, la veille de l’ouverture du Forum, une attaque de 426 Gbps a ciblé un grand fournisseur suisse. Son objectif probable ? Tester l’efficacité des méthodes employées avant d’intensifier les actions les jours suivants.

Chronologie des attaques DDoS observées

19 janvier : Une répétition avant l’événement

Avant même le début officiel du WEF, ASERT a détecté une attaque de 426 Gbps visant un fournisseur de services suisses. Elle s’est appuyée sur le DNS Reflection Amplification, une technique courante pour saturer une bande passante et tester la robustesse des infrastructures.

20 janvier : Des anomalies dès l’ouverture

À 15h20 UTC, alors que les premières sessions commençaient, une attaque atteignant 24 Gbps a été enregistrée. Contrairement à la veille, plusieurs vecteurs d’amplification ont été utilisés, rendant l’attaque plus difficile à contrer.

21 janvier : L’intensification des assauts

Cette journée a marqué un tournant, avec un volume croissant d’attaques précédant une allocution politique majeure. Les cybercriminels ont modifié leur approche, optant pour des attaques TCP ciblées et des inondations DNS sur UDP/53 et TCP/53.

22 janvier : Des attaques plus furtives

Bien que la bande passante utilisée ait été moindre, la sophistication des attaques a augmenté. Les méthodes TCP RST/SYN flood et TCP SYN/ACK amplification ont généré un flot de petits paquets difficilement filtrables.

23-24 janvier : Une fin sous tension

Si le 23 janvier fut relativement calme, le dernier jour du Forum a vu une résurgence des attaques DDoS, prolongeant leur effet plusieurs heures après la fin des discussions.

Qui sont les responsables ? Focus sur NoName057(16)

Les attaques observées portent la signature de groupes hacktivistes, notamment NoName057(16), affilié aux intérêts russes. Le blog ZATAZ avait été le premier a parlé de ces pirates devenus aujourd’hui des adeptes du DDoS. Ce collectif est connu pour ses attaques contre des entités politiques et économiques occidentales via leur projet DDoSia. Le groupe privilégie généralement les attaques HTTP flooding pour submerger les sites web, mais cette fois-ci, il a opté pour des méthodes TCP-based, corroborant les observations d’ASERT.

L’analyse des attaques DDoS montre qu’elles ont principalement visé les infrastructures critiques. Le secteur des télécommunications a absorbé près de la moitié des attaques, ce qui souligne l’importance de renforcer les défenses de ces infrastructures, particulièrement lors d’événements internationaux.

Les motivations derrière ces attaques sont multiples : démonstration de force, revendication politique, voire simple opportunisme. ZATAZ expliquait d’ailleurs que certains participants aux opérations de Noname057(16) profitaient des DDoS pour louer leur propre solution de cyberattaque ! Toutefois, une leçon essentielle se dégage : les événements internationaux nécessitent des stratégies de cybersécurité renforcées.

Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !