Pages: [1]   En bas

Auteur Sujet: Le forum attaqué par des IP Free Pro le 19 octobre 2026  (Lu 103 fois)

Shazir, Hugues et 9 Invités sur ce sujet

vivien

  • Administrateur
  • *
  • Messages: 53 588
    • Bluesky LaFibre.info
Le forum attaqué par des IP Free Pro le 19 octobre 2026
« le: Aujourd'hui à 10:23:09 »
Hier après-midi, vous avez subi un fort ralentissement sur le forum. Que s'est-il passé ?

Depuis le mois de mars 2026, le forum subit une attaque par déni de service permanent. Cela m'a obligé à mettre en place plusieurs scripts qui bloquent le gros de l'attaque. En moyenne plus d'un million de connexions TCP sont bloquées par heure ! Ce sont des requêtes pour lesquelles j'ai un très haut niveau de confiance sur le fait que c'est une attaque. Jusqu'à présent les attaques ne provenaient jamais d'IP françaises, mais plutôt d'Amérique du Sud, d'Asie et un peu d'Afrique.

Hier, à 11h39 un flux supplémentaire complétement différent s'est ajouté. Ces flux n'ont été bloqués que très partiellement par les règles en place. Les requêtes qui passaient ont donc saturé le serveur, entraînant de fort ralentissement quand la charge CPU dépasse 600% sur le graphique ci-dessous (Le serveur à un processeur Xeon à 4 cœurs Hyper-Threading, soit 8 cœurs logiques, ce qui explique qu'on puisse monter à 800% au max).



Cette attaque est différente des attaques subies depuis mars 2026. Ici, ce sont des devices américains, connectés à des box grand public qui sont utilisés pour l'attaque. Ce sont probablement des box IPTV pirates, des VPN gratuits ou des jeux gratuits sur mbile qui se financent en revenant la connexion de leurs utilisateurs. J'ai donc des requêtes provenant de l'ensemble des USA. Il y a très peu de requêtes par IP (le device fait une ou deux requêtes et c'est tout, rendant inefficace le filtrage après la première requête) et les IP sont réparties chez l'ensemble de fournisseurs d'accès internet américains grand public.

En analysant les logs pour trouver une solution de filtrage, je suis tombé sur quelque chose d'étrange : des IP Françaises, qui émettent les mêmes flux, mais a un niveau bien plus élevé.

Ce sont des IPv4 Free Pro. Sur ces plages IPv4 ci-dessous, ce n'est pas une IPv4 perdue dans la plage qui participe, mais les 255 IPv4 de la plage IP.
- 153.52.219.0/24
- 153.52.220.0/24
- 153.79.112.0/24
- 153.79.113.0/24
- 153.79.114.0/24
- 153.79.115.0/24
- 153.79.116.0/24
- 31.98.1.0/24
- 31.98.2.0/24
- 31.98.28.0/24

Intrigué, j'ai filtré le trafic sur ces plages Free Pro en remontant au 12 août dernier (en pratique, il n'y a aucune connexion sur ces IP du 12 août au 26 septembre 2026).

Voici dans un PDF les requêtes émises depuis les 10 plages Free Pro en question vers le forum : (cliquez sur la miniature ci-dessous - le document est au format PDF)


On voit des requêtes avant le 19 octobre qui ne semblent pas liées à un usage humain (pas de téléchargement des images nécessaires pour afficher la page par exemple). Toutefois, les requêtes avant le 19 octobre sont peu nombreuses et n'impactent pas le serveur.

Tout s'accélère le 19 octobre à 11h39 (page 6 à 125 du PDF) en même temps que l'attaque américaine est lancée.

Ce ne sont pas ces 8000 requêtes qui ont surchargé le serveur, mais elles y ont participé et le fait que les requêtes soient exactement du même type que l'attaque par déni de service venant de devices américains soulève la question de savoir ce qui se cache derrière ces IPv4 Free Pro. La temporalité, identique aux requêtes venant d'outre atlantique laisse à penser que c'est lié.
IP archivée

zbug

  • Abonné FAI autre
  • *
  • Messages: 567
  • 72000
Le forum attaqué par des IP Free Pro le 19 octobre 2026
« Réponse #1 le: Aujourd'hui à 11:55:35 »
Avec la faille Plex récente et le nombre de gens qui ont leurs serveurs sur internet pour que la famille/les copains y accèdent, je ne saurais pas étonné si c'est simplement qu'un bon lot de server plex en France derrière du Free pro ce sont fait prendre et ont rejoins un botnet  :D
IP archivée
Pages: [1]   En haut