Hier après-midi, vous avez subi un fort ralentissement sur le forum. Que s'est-il passé ?

Depuis le mois de mars 2026, le forum subit une attaque par déni de service permanent. Cela m'a obligé à mettre en place plusieurs scripts qui bloquent le gros de l'attaque. En moyenne plus d'un million de connexions TCP sont bloquées par heure ! Ce sont des requêtes pour lesquelles j'ai un très haut niveau de confiance sur le fait que c'est une attaque. Jusqu'à présent les attaques ne provenaient jamais d'IP françaises, mais plutôt d'Amérique du Sud, d'Asie et un peu d'Afrique.

Hier, à 11h39 un flux supplémentaire complétement différent s'est ajouté. Ces flux n'ont été bloqués que très partiellement par les règles en place. Les requêtes qui passaient ont donc saturé le serveur, entraînant de fort ralentissement quand la charge CPU dépasse 600% sur le graphique ci-dessous (Le serveur à un processeur Xeon à 4 cœurs Hyper-Threading, soit 8 cœurs logiques, ce qui explique qu'on puisse monter à 800% au max).



Cette attaque est différente des attaques subies depuis mars 2026. Ici, ce sont des devices américains, connectés à des box grand public qui sont utilisés pour l'attaque. Ce sont probablement des box IPTV pirates, des VPN gratuits ou des jeux gratuits sur mbile qui se financent en revenant la connexion de leurs utilisateurs. J'ai donc des requêtes provenant de l'ensemble des USA. Il y a très peu de requêtes par IP (le device fait une ou deux requêtes et c'est tout, rendant inefficace le filtrage après la première requête) et les IP sont réparties chez l'ensemble de fournisseurs d'accès internet américains grand public.

En analysant les logs pour trouver une solution de filtrage, je suis tombé sur quelque chose d'étrange : des IP Françaises, qui émettent les mêmes flux, mais a un niveau bien plus élevé.

Ce sont des IPv4 Free Pro. Sur ces plages IPv4 ci-dessous, ce n'est pas une IPv4 perdue dans la plage qui participe, mais les 255 IPv4 de la plage IP.
- 153.52.219.0/24
- 153.52.220.0/24
- 153.79.112.0/24
- 153.79.113.0/24
- 153.79.114.0/24
- 153.79.115.0/24
- 153.79.116.0/24
- 31.98.1.0/24
- 31.98.2.0/24
- 31.98.28.0/24

Intrigué, j'ai filtré le trafic sur ces plages Free Pro en remontant au 12 août dernier (en pratique, il n'y a aucune connexion sur ces IP du 12 août au 26 septembre 2026).

Voici dans un PDF les requêtes émises depuis les 10 plages Free Pro en question vers le forum : (cliquez sur la miniature ci-dessous - le document est au format PDF)


On voit des requêtes avant le 19 octobre qui ne semblent pas liées à un usage humain (pas de téléchargement des images nécessaires pour afficher la page par exemple). Toutefois, les requêtes avant le 19 octobre sont peu nombreuses et n'impactent pas le serveur.

Tout s'accélère le 19 octobre à 11h39 (page 6 à 125 du PDF) en même temps que l'attaque américaine est lancée.

Ce ne sont pas ces 8000 requêtes qui ont surchargé le serveur, mais elles y ont participé et le fait que les requêtes soient exactement du même type que l'attaque par déni de service venant de devices américains soulève la question de savoir ce qui se cache derrière ces IPv4 Free Pro. La temporalité, identique aux requêtes venant d'outre atlantique laisse à penser que c'est lié.

Au début, je vois les mêmes pages chargées avec des user-agent différents (bizarrement tous sur Mac Intel, et avec un Edge 148 sur MacOS 10 qui semble incorrect), mais à partir d'hier il n'y a quasiment plus que celui de Firefox.
S'il n'y avait pas cette bizarrerie, je me demanderais s'il ne s'agirait pas d'une tentative d'indexation (pour un LLM ?) qui passerait par un proxy résidentiel.

Dans tous les cas, c'est effectivement étrange que des plages entières d'IP Free Pro participent.
Ca suggère que soit l'attaquant a un accès direct au réseau Free Pro (spoofing ? accès interne ?), soit que des Freebox Pro ont été piratées.

Je n'ai regardé que 153.52.219.0/24, mais sur ce range on voit que :

• toutes les IP, sans exception, font tourner un proxy http (Squid) sur les ports 40000 et 60000
• la plupart ont aussi un proxy sock5 sur le port 10801, et autre service non identifié sur le port 1180 (normalement réservé pour un proxy Millicent, qui est apparemment utilisé pour des transactions financières < 1 centime)

Donc ça m'a tout l'air d'être une infrastructure de proxies résidentiels. Les proxies demandent une authentification. Si je devais parier je dirais que le truc Millicent est utilisé pour facturer l'accès ?