NightmareStresser : deux domaines DDoS saisis aux États-Unis

Deux domaines désormais sous bannière de saisie

Les domaines nightmare-stresser.com et nightmarestresser.org affichent désormais une bannière de saisie du FBI. D’après The Hacker News, la mesure a été autorisée par un tribunal américain et associe notamment le bureau du procureur des États-Unis pour le district d’Alaska, le FBI d’Anchorage et la police montée canadienne. La saisie vise les noms de domaine : elle empêche leur usage par les opérateurs du service et avertit publiquement les visiteurs.

01net et The Hacker News rapportent que l’action s’inscrit dans l’opération internationale PowerOFF, consacrée aux plateformes de DDoS à la demande. Cette opération ne cible pas une panne ou une fuite de données chez une entreprise précise. Elle vise une infrastructure présentée comme un outil de « stress test », mais que les autorités relient à des attaques contre des tiers.

Un DDoS à la demande transforme un client en donneur d’ordre

Une attaque DDoS cherche à rendre un site, un jeu en ligne ou une connexion indisponible en le submergeant de trafic. Dans un service de type booter ou stresser, le client n’a pas besoin de disposer lui-même d’un grand parc de machines : il paie un intermédiaire qui met à disposition l’infrastructure nécessaire. Les appareils compromis ou les serveurs mobilisés envoient alors simultanément un volume de requêtes vers la cible choisie.

C’est ce modèle qui rend ces services dangereux. Il abaisse fortement la barrière technique pour harceler un joueur, paralyser un site ou perturber une organisation. Une telle attaque vise d’abord la disponibilité du service. Elle ne prouve pas, à elle seule, qu’un pirate a accédé aux données internes de la cible.

Des centaines de milliers d’attaques selon la justice américaine

Selon la déclaration du ministère de la Justice américain citée par les deux sources, NightmareStresser a servi depuis 2022 à lancer « des centaines de milliers » d’attaques DDoS réelles ou tentées contre des victimes dans le monde entier. Les secteurs mentionnés comprennent des établissements d’enseignement, des administrations, des plateformes de jeux vidéo et des particuliers. Ce volume est une affirmation des autorités dans le cadre de l’enquête et de la saisie, pas un décompte indépendant publié attaque par attaque.

Une étude de Searchlight Cyber, citée par 01net et The Hacker News, relevait fin 2023 plus de 566 000 comptes inscrits et 52 serveurs dédiés associés à la plateforme. Ces éléments décrivent l’ampleur historique rapportée du service. Ils ne permettent pas de savoir combien de comptes étaient réellement actifs, ni d’identifier les victimes de chaque attaque.

Une plateforme déjà visée, puis revenue en ligne

Le démantèlement actuel n’est pas le premier coup porté à cette infrastructure. Les sources rapportent qu’un domaine lié à NightmareStresser avait déjà été saisi en décembre 2022, dans une opération plus large. Selon 01net, six suspects avaient alors été arrêtés dans ce contexte. Le service a ensuite repris une activité sous d’autres adresses, ce qui explique la nouvelle saisie annoncée cette semaine.

Ce précédent rappelle une limite importante des saisies de domaines : elles peuvent interrompre un service et réduire immédiatement sa visibilité, mais les opérateurs peuvent tenter de reconstruire une présence technique ailleurs. L’efficacité durable dépend aussi des enquêtes, des poursuites et de la coopération entre pays, pas seulement de la fermeture d’une adresse web.

Ce que cela change pour les internautes et les organisations

Pour une personne qui subit une déconnexion soudaine, un jeu inaccessible ou un site qui ne répond plus, le premier réflexe est de distinguer une indisponibilité d’une fuite. Un DDoS empêche l’accès au service, sans démontrer automatiquement un vol de données. Consultez les canaux officiels du fournisseur en saisissant vous-même son adresse ou en ouvrant son application habituelle, plutôt qu’en suivant un lien reçu pendant la panne.

Les pannes très visibles attirent aussi les faux messages de rétablissement, d’indemnisation ou de vérification de compte. Ne communiquez jamais un code reçu par SMS ou par application à une personne qui vous contacte. Ce code peut permettre de finaliser la prise de contrôle d’un compte, alors qu’un service d’assistance légitime n’a pas besoin de le connaître.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante le nombre exact d’attaques attribuables à NightmareStresser, le nombre de victimes, l’identité de ses opérateurs ni les éventuelles arrestations liées à la saisie actuelle. Le chiffre de centaines de milliers provient de l’affirmation du ministère de la Justice américain rapportée par les sources lues.

Nous ne pouvons pas non plus établir quelles victimes françaises auraient été visées ni mesurer l’effet concret de cette saisie sur l’ensemble des services DDoS à la demande. Les sources consultées confirment la saisie de deux domaines et son inscription dans PowerOFF, mais elles ne publient pas de bilan technique complet de l’opération ni de liste de victimes.

Sources : 01net ↗ · The Hacker News ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.