Les habitants d'Eagle Mountain, dans l'Utah, ont passé plusieurs jours avec une connexion Internet domestique intermittente ou inexistante après qu'une cyberattaque a frappé une infrastructure réseau dont dépend leur fournisseur local, Direct Communications. FOX 13 News a rapporté le 21 septembre que l'entreprise attribuait la perturbation à l'un de ses fournisseurs en amont plutôt qu'à son propre réseau, et le service a continué de tomber en panne puis de se rétablir par intermittence au cours des jours suivants [2].
Contexte
Direct Communications est une petite entreprise de télécommunications qui dessert Eagle Mountain et des secteurs voisins du comté d'Utah. Comme de nombreux fournisseurs régionaux, elle achète de la bande passante en amont à des réseaux plus importants plutôt que d'exploiter elle-même chaque couche d'infrastructure ; une attaque survenue plusieurs étapes en amont de la connexion d'un foyer peut donc tout de même le priver d'Internet. Une attaque par déni de service distribué, ou DDoS, inonde une cible de trafic provenant simultanément de nombreuses sources jusqu'à ce que le trafic légitime ne puisse plus passer ; c'est un moyen courant de perturber une connexion sans compromettre aucun appareil chez le client.
Constatations
Direct Communications a indiqué à ses clients que les pannes avaient commencé par un trafic inhabituellement intense visant les fournisseurs qui acheminent sa connexion Internet plus en amont, un schéma qu'Hoodline a décrit, citant KUTV et ABC4, comme caractéristique d'une attaque par déni de service distribué. Ce flot a provoqué des ralentissements, des pertes de paquets et, pour certains foyers, une interruption totale du service. Les téléphones des bureaux de l'entreprise ont également cessé de fonctionner, et l'hôtel de ville d'Eagle Mountain a été touché pendant un temps, même si des responsables municipaux ont déclaré à FOX 13 News que les activités avaient repris le lundi matin [1].
Le service est revenu puis a de nouveau été interrompu à plusieurs reprises : une correction en amont a un temps rétabli la stabilité, puis le réseau est retombé en panne la nuit suivante. Direct Communications a annoncé sur Facebook que l'accès à Internet était rétabli le lundi après-midi, en prévenant que certains clients pourraient encore constater des lenteurs, et a précisé continuer à travailler avec des spécialistes externes en cybersécurité pour déterminer ce qui s'était passé, a rapporté KUTV le 22 septembre.
C'est vraiment difficile de vendre des produits numériques quand je n'arrive pas à me connecter avec un appareil numérique.
Jessica Newman, habitante d'Eagle Mountain et propriétaire d'une boutique Etsy, citée par FOX 13 News
Jessica Newman a expliqué à FOX 13 News qu'elle avait maintenu son activité en passant d'un partage de connexion à l'autre sur les téléphones de membres de sa famille pour trouver du signal, et qu'elle avait envisagé de se rendre chez ses parents, dans une ville voisine, simplement pour traiter ses commandes [1].
Conséquences pour les foyers
L'impact direct se limite aux clients de Direct Communications à Eagle Mountain. Le schéma s'applique toutefois à tout foyer dont l'accès à Internet dépend d'un seul petit fournisseur ou d'un fournisseur régional : lorsque ce fournisseur, ou un réseau dont il dépend, est perturbé, il n'existe pas de seconde connexion à moins qu'elle n'ait été prévue à l'avance. Télétravail, boutique à domicile, devoirs scolaires, serrures connectées, caméras de sécurité et ligne fixe acheminée par la même connexion peuvent tous s'arrêter en même temps.
Recommandations
- Apprenez à partager la connexion d'un téléphone avec un ordinateur portable comme connexion de secours, et vérifiez le volume de données de votre forfait mobile avant une panne, et non pendant.
- Conservez des copies hors ligne des documents susceptibles d'être nécessaires sans Internet : un PDF des documents importants, une carte téléchargée, des numéros de contact enregistrés localement et pas seulement dans une messagerie cloud.
- Demandez à votre fournisseur ou au fabricant de l'appareil ce qu'il advient, pendant une panne, d'une ligne fixe ou d'un appareil médical ou de sécurité qui repose sur la même connexion Internet.
- Redémarrez le routeur (débranchez-le, attendez environ 30 secondes, rebranchez-le) une fois le service rétabli, comme Direct Communications l'a conseillé à ses clients ; un routeur réinitialisé aux réglages d'usine pendant la panne devra être reconfiguré pour le Wi-Fi.
- Remplacez le mot de passe administrateur par défaut du routeur si cela n'a jamais été fait, et vérifiez la présence d'une mise à jour du micrologiciel une fois le service rétabli.
- Ajoutez aux favoris la page d'état ou le compte de réseau social du fournisseur, afin que les informations lors de la prochaine panne viennent du fournisseur et non de rumeurs.
Pertinence pour FireAI
FireAI fonctionne sur un Mac, pas sur le réseau d'un fournisseur d'accès. Il ne peut pas arrêter une attaque par déni de service contre le fournisseur amont d'un FAI, et il ne peut pas rétablir une connexion ; ce travail revient entièrement au fournisseur.
Il peut en revanche traiter ce qui se passe sur un Mac une fois le foyer reconnecté, ou lorsqu'il dépend d'un autre réseau pendant quelques jours. Le mode de sécurité Café bloque les connexions entrantes ainsi que le partage de fichiers ou d'écran depuis d'autres appareils sur un réseau auquel l'utilisateur ne fait pas entièrement confiance. Les profils Wi-Fi se configurent une seule fois, de sorte qu'un Mac passe automatiquement à un mode plus strict dès qu'il rejoint un réseau autre que celui du domicile. Après la réinitialisation ou la reconfiguration d'un routeur, les règles par app et la carte du monde permettent de vérifier qu'aucun élément du Mac n'a commencé à communiquer avec une destination inconnue.
Rien de cela ne remplace une seconde connexion ni un plan de secours pour le foyer. Cela maintient le Mac dans un cadre défini pendant que le reste du foyer organise une solution de repli. FireAI est développé par HisnLabs.
Limites
Aucune des trois sources n'indique qui est à l'origine de l'attaque, pourquoi le fournisseur amont de Direct Communications a été visé, ni si d'autres fournisseurs régionaux ont été touchés via la même infrastructure. Au moment du dernier compte rendu, les conclusions des spécialistes externes en cybersécurité n'avaient pas été publiées ; la cause est donc attribuée à un schéma de trafic caractéristique d'une attaque DDoS plutôt qu'à un type d'attaque confirmé et nommé.
Essayez FireAI, par HisnLabs gratuitement pendant 17 jours.