Qu'est-ce qu'Anonymous Sudan ?

Qu'est-ce qu'Anonymous Sudan ?

Anonymous Sudan est un groupe de pirates informatiques qui a participé à diverses attaques par déni de service distribué (distributed denial-of-service, DDoS) contre des cibles basées en Suède, au Danemark, aux États-Unis, en Australie et dans d'autres pays depuis le début de l'année 2023. Si le groupe affirme être basé au Soudan et s'attaquer à ce qu'il est convenu d'appeler des « activités antimusulmanes », ses origines réelles ne sont pas claires. Les chercheurs spécialisés dans les menaces ont d'ailleurs identifié des liens logistiques et idéologiques possibles avec la Russie.

Anonymous Sudan a recours aux avertissements publics et à d'autres formes de propagande pour attirer l'attention du plus grand nombre. Ce groupe ne constitue toutefois que le dernier d'une longue série à employer les attaques DDoS. Les entreprises peuvent se protéger en suivant un ensemble standard de bonnes pratiques en matière d'atténuation de ces attaques.

Quels sont les objectifs et les origines d'Anonymous Sudan ?

Comme nous l'avons déjà mentionné, les origines et les motivations d'Anonymous Sudan ne sont pas encore claires.

Le groupe se présente comme un groupe d'hacktivistes natifs du Soudan visant les pays et les entreprises qui se livrent à ce qu'il décrit comme des « activités antimusulmanes ». Voici quelques exemples de ces attaques :

• À partir de février 2023, Anonymous Sudan a attaqué un certain nombre de sites web en Suède et au Danemark, prétendument en réponse à un militant d'extrême droite suédois et danois qui avait brûlé publiquement un exemplaire du Coran.
• En avril 2023, le groupe s'est attaqué à un certain nombre de sites web israéliens, censément en raison de l'activité de l'armée israélienne en Palestine.
• En juillet 2023, le groupe s'en est pris au site web de fanfictions AO3, supposément en raison d'objections religieuses au contenu du site web.

Anonymous Sudan a toutefois également collaboré avec des groupes d'acteurs malveillants pro-russes, tels que Killnet, afin d'attaquer des entreprises pour d'autres raisons. Voici quelques exemples de ces activités :

• En mars 2023, Anonymous Sudan et Killnet s'en sont pris à une série d'universités, d'hôpitaux et d'aéroports australiens.
• En juin 2023, Anonymous Sudan, Killnet et le groupe de pirates ReVIL ont menacé d'attaquer des infrastructures bancaires essentielles pour des raisons liées à la guerre entre la Russie et l'Ukraine.

Toutes ces raisons (de même que divers autres signaux, tels que les langues dans lesquelles Anonymous Sudan communique et l'infrastructure d'attaque utilisée par le groupe) conduisent certains chercheurs en menaces à penser que le groupe provient de Russie ou est soutenu par le pays.

Les efforts pour en savoir plus sur les origines et les motivations du groupe se poursuivent. Parfois, les raisons invoquées pour justifier les attaques d'Anonymous Sudan restent floues, comme ce fut le cas lors des attaques de mars 2024 contre le gouvernement français.

Remarque : si Anonymous Sudan partage le même nom que le groupe d'acteurs malveillants Anonymous, actif de longue date, ce dernier affirme n'avoir aucun lien avec le premier.

Quelles sont les tactiques d'attaque utilisées par Anonymous Sudan ?

Anonymous Sudan utilise principalement des attaques DDoS, qui inondent le site web et/ou l'infrastructure web d'une entreprise sous des flots de trafic malveillant. En l'absence de protection adéquate, un trafic DDoS trop important peut submerger la capacité d'un site web à répondre aux demandes légitimes et ainsi empêcher les utilisateurs légitimes d'accéder au site.

Anonymous Sudan a employé diverses tactiques d'attaque depuis son émergence au début de l'année 2023. Plusieurs schémas se répètent dans ces dernières, notamment les suivants :

• Lancement d'attaques HTTP. Les pirates du groupe ont envoyé des flots de trafic HTTP spécialement conçu pour submerger les infrastructures ciblées.
• Utilisation d'une infrastructure payante. Contrairement à de nombreux autres groupes de pirates, les recherches révèlent qu'Anonymous Sudan n'utilise pas de botnets composés d'appareils personnels et IdO infectés pour mener ses attaques. À la place, le groupe utilise généralement une grappe de serveurs loués (capables de générer davantage de trafic que les appareils personnels) pour lancer ses attaques. Le fait qu'Anonymous Sudan dispose des ressources financières nécessaires pour louer ces serveurs est une autre raison pour laquelle certains chercheurs pensent que le groupe n'est pas le groupe d'hacktivistes locaux qu'il prétend être.
• Envoi de menaces par le biais d'annonces publiques et par la propagande. Anonymous Sudan menace souvent ses cibles avant de s'en prendre à elles et profère parfois des menaces qui ne sont jamais mises à exécution. Les raisons probables à l'origine de ce mode opératoire sont d'attirer l'attention sur leurs motivations idéologiques et de semer l'incertitude parmi les cibles potentielles.

Comment les entreprises peuvent-elles se protéger des attaques DDoS telles que celles lancées par Anonymous Sudan ?

L'atténuation des attaques DDoS consiste à protéger les sites et l'infrastructure web contre les attaques DDoS. Les entreprises peuvent également renforcer leur protection contre les attaques DDoS de grande ampleur, comme celles lancées par Anonymous Sudan, en suivant les bonnes pratiques suivantes :

• Utiliser un service d'atténuation des attaques DDoS dédié et toujours actif. Les services d'atténuation des attaques DDoS s'appuient sur une grande capacité en termes de bande passante, l'analyse continue du trafic réseau et des modifications de politiques personnalisables pour absorber le trafic DDoS et l'empêcher d'atteindre l'infrastructure ciblée. Les entreprises doivent s'assurer de disposer d'une protection contre les attaques DDoS pour le trafic de couche 7, le trafic de couche 3 et le DNS.
• Utiliser un pare-feu d'applications web (WAF). Un pare-feu WAF utilise des règles personnalisables pour filtrer, inspecter et bloquer le trafic HTTP malveillant circulant entre les applications web et Internet.
• Configurez un contrôle du volume de requêtes. Le contrôle du volume de requêtes limite le volume du trafic réseau sur une période donnée, afin d'empêcher les serveurs web d'être submergés par des requêtes provenant d'adresses IP spécifiques.
• Mettre le contenu en cache sur un CDN. Un cache stocke des copies du contenu demandé et les diffuse à la place d'un serveur d'origine. La mise en cache des ressources sur un réseau de diffusion de contenu (Content Delivery Network, CDN) peut réduire la pression exercée sur les serveurs d'une entreprise lors d'une attaque DDoS.
• Mettre en place des procédures internes pour répondre aux attaques. Il s'agit notamment de comprendre la protection et les capacités existantes en matière de sécurité, d'identifier les surfaces d'attaque inutiles, d'analyser les journaux à la recherche de schémas d'attaque et de mettre en place des processus afin de savoir où chercher et quoi faire lorsqu'une attaque se produit

En savoir plus sur les stratégies d'atténuation des attaques DDoS.

Ce que Cloudflare peut vous apporter

Cloudflare assure une protection anti-DDoS des couches 3 et 7, qui aide les entreprises à surveiller, prévenir et atténuer les attaques avant qu'elles n'atteignent les applications, les infrastructures et les réseaux ciblés. Cloudflare propose également un pare-feu WAF, ainsi que d'autres services essentiels à une distribution sécurisée des applications.

En savoir plus sur les services proposés par Cloudflare en matière d'atténuation des attaques DDoS sur les couches applicative et réseau. En outre, si votre entreprise se retrouve sous les feux d'une attaque, rendez-vous sur notre page « Je suis victime d'une attaque » pour un diagnostic et une assistance rapides.