Votre box travaille peut-être pour des inconnus : comment le voir et quoi faire

Un réseau de machines infectées appelé Dysphoria grossit depuis un mois, et il vit précisément sur les appareils que les gens ont chez eux : box, passerelles internet et caméras IP. Dans son rapport du 12 août, la Shadowserver Foundation a compté environ 296 000 appareils compromis, contre 200 000 au début du mois. L'intérêt n'est pas la taille mais le second métier de ces boîtiers. En plus de participer à des attaques, ils sont loués comme proxys résidentiels : des inconnus naviguent par votre adresse domestique pendant que vous êtes assis à côté de l'appareil.

Comment le remarquer sans outil particulier

Quelqu'un d'autre sur votre adresse laisse des traces visibles depuis le canapé. Des sites vous demandent plusieurs fois par jour de prouver que vous n'êtes pas un robot. Google affiche la page sur le "trafic inhabituel provenant de votre réseau". Une boutique ou une banque refuse la connexion depuis le réseau domestique, et des services vous situent dans un pays où vous n'avez jamais mis les pieds. L'envoi rampe alors que le téléchargement paraît normal, parce que votre ligne transporte le trafic d'un autre vers l'extérieur. La box chauffe ou redémarre seule, et son interface met du temps à s'ouvrir ou réclame un mot de passe que vous n'avez jamais défini.

Aucun de ces signes ne prouve à lui seul une infection, chacun a aussi une explication banale. Mais deux ou trois à la fois, sur un appareil qui n'a pas été mis à jour depuis des années, suffisent pour y consacrer vingt minutes ce soir.

Ce qu'il faut faire ce soir

1. Ouvrez l'interface d'administration et changez le mot de passe administrateur. Pas celui du Wi-Fi, celui du boîtier lui-même. Les mots de passe d'usine et réutilisés sont la première voie de prise de contrôle, et fermer cette porte ne coûte rien.
2. Désactivez l'administration à distance. Elle s'appelle accès distant, gestion depuis le WAN ou gestion dans le nuage. Si vous n'administrez pas votre box depuis un café, personne ne doit pouvoir l'atteindre de l'extérieur.
3. Coupez Telnet et SSH s'ils sont actifs. Sur du matériel domestique ils ne servent presque jamais, et c'est justement par devinette de mots de passe sur ces services que ce réseau se propage.
4. Installez la mise à jour du micrologiciel. Sur la plupart des box, c'est un bouton dans l'interface. Si le fabricant n'a rien publié depuis deux ou trois ans, considérez l'appareil comme périmé, pas comme fiable.
5. Regardez les redirections de ports et les entrées UPnP. Tout ce que vous n'avez pas créé, supprimez-le. Si rien chez vous n'a besoin d'un port entrant, désactivez complètement l'UPnP.
6. Vérifiez la liste des appareils connectés. Les noms que vous ne reconnaissez pas méritent une enquête ; sur beaucoup de box, un clic suffit à bloquer un appareil le temps de comprendre.
7. Si plusieurs signes correspondent, faites une remise à zéro d'usine et reconfigurez la box de zéro. C'est une demi-heure de travail, et cela emporte tout ce qui vivait dans la configuration.

Caméras et objets connectés, la moitié la plus délicate

Une caméra est un petit ordinateur sous Linux relié au réseau, et elle reçoit bien moins d'attention qu'un téléphone. Les règles y sont plus simples que pour une box. Ne donnez pas à une caméra un port direct depuis internet ; s'il vous faut la voir à distance, passez par l'application du fabricant plutôt que par un port ouvert. Changez le mot de passe d'usine sur l'appareil lui-même, pas seulement dans l'application. Mettez caméras, prises, téléviseurs et aspirateurs sur un réseau invité, pour qu'un appareil au micrologiciel abandonné ne voie ni votre ordinateur, ni vos sauvegardes, ni votre imprimante.

Et soyez honnête sur l'âge. Une caméra dont les mises à jour se sont arrêtées en 2020 ne deviendra pas sûre par réglages. Quand le fabricant est parti, le seul vrai remède est le remplacement, et du matériel récent bon marché vaut mieux que du matériel cher abandonné.

Pourquoi votre box intéresse quelqu'un

Parce que votre adresse a l'air ordinaire. Le trafic venu d'un centre de données, n'importe quel service le repère et le refuse ; celui d'une ligne résidentielle, non. C'est pour cela que l'accès aux appareils domestiques détournés se vend à l'heure, et c'est pour cela que les ennuis vous reviennent : plaintes, blocages et soupçons s'accrochent à l'adresse, pas à celui qui paie le proxy. Le matériel remis par l'opérateur il y a des années et jamais retouché convient parfaitement, et le ticket d'entrée est en général un mot de passe jamais changé.

Rien de tout cela n'est un projet de sécurité. C'est une liste pour une soirée, et contrairement à la plupart des conseils, elle se termine par un résultat mesurable : le nombre de chemins vers votre réseau domestique passe de plusieurs à presque zéro, et y reste jusqu'au prochain appareil acheté.