Auteur Sujet: Le forum attaqué par des IP Free Pro le 19 octobre 2026 (Lu 381 fois)

vivien · « **le:** **Aujourd'hui** à 10:23:09 »

Hier après-midi, vous avez subi un fort ralentissement sur le forum. Que s'est-il passé ?

Depuis le mois de mars 2026, le forum subit une attaque par déni de service permanent. Cela m'a obligé à mettre en place plusieurs scripts qui bloquent le gros de l'attaque. En moyenne plus d'un million de connexions TCP sont bloquées par heure ! Ce sont des requêtes pour lesquelles j'ai un très haut niveau de confiance sur le fait que c'est une attaque. Jusqu'à présent les attaques ne provenaient jamais d'IP françaises, mais plutôt d'Amérique du Sud, d'Asie et un peu d'Afrique.

Hier, à 11h39 un flux supplémentaire complétement différent s'est ajouté. Ces flux n'ont été bloqués que très partiellement par les règles en place. Les requêtes qui passaient ont donc saturé le serveur, entraînant de fort ralentissement quand la charge CPU dépasse 600% sur le graphique ci-dessous (Le serveur à un processeur Xeon à 4 cœurs Hyper-Threading, soit 8 cœurs logiques, ce qui explique qu'on puisse monter à 800% au max).

Cette attaque est différente des attaques subies depuis mars 2026. Ici, ce sont des devices américains, connectés à des box grand public qui sont utilisés pour l'attaque. Ce sont probablement des box IPTV pirates, des VPN gratuits ou des jeux gratuits sur mbile qui se financent en revenant la connexion de leurs utilisateurs. J'ai donc des requêtes provenant de l'ensemble des USA. Il y a très peu de requêtes par IP (le device fait une ou deux requêtes et c'est tout, rendant inefficace le filtrage après la première requête) et les IP sont réparties chez l'ensemble de fournisseurs d'accès internet américains grand public.

En analysant les logs pour trouver une solution de filtrage, je suis tombé sur quelque chose d'étrange : des IP Françaises, qui émettent les mêmes flux, mais a un niveau bien plus élevé.

Ce sont des IPv4 Free Pro. Sur ces plages IPv4 ci-dessous, ce n'est pas une IPv4 perdue dans la plage qui participe, mais les 255 IPv4 de la plage IP.
- 153.52.219.0/24
- 153.52.220.0/24
- 153.79.112.0/24
- 153.79.113.0/24
- 153.79.114.0/24
- 153.79.115.0/24
- 153.79.116.0/24
- 31.98.1.0/24
- 31.98.2.0/24
- 31.98.28.0/24

Intrigué, j'ai filtré le trafic sur ces plages Free Pro en remontant au 12 août dernier (en pratique, il n'y a aucune connexion sur ces IP du 12 août au 26 septembre 2026).

Voici dans un PDF les requêtes émises depuis les 10 plages Free Pro en question vers le forum : (cliquez sur la miniature ci-dessous - le document est au format PDF)

On voit des requêtes avant le 19 octobre qui ne semblent pas liées à un usage humain (pas de téléchargement des images nécessaires pour afficher la page par exemple). Toutefois, les requêtes avant le 19 octobre sont peu nombreuses et n'impactent pas le serveur.

Tout s'accélère le 19 octobre à 11h39 (page 6 à 125 du PDF) en même temps que l'attaque américaine est lancée.

Ce ne sont pas ces 8000 requêtes qui ont surchargé le serveur, mais elles y ont participé et le fait que les requêtes soient exactement du même type que l'attaque par déni de service venant de devices américains soulève la question de savoir ce qui se cache derrière ces IPv4 Free Pro. La temporalité, identique aux requêtes venant d'outre atlantique laisse à penser que c'est lié.

zbug · « **Réponse #1 le:** **Aujourd'hui** à 11:55:35 »

Avec la faille Plex récente et le nombre de gens qui ont leurs serveurs sur internet pour que la famille/les copains y accèdent, je ne saurais pas étonné si c'est simplement qu'un bon lot de server plex en France derrière du Free pro ce sont fait prendre et ont rejoins un botnet

hwti · « **Réponse #2 le:** **Aujourd'hui** à 12:18:02 »

Au début, je vois les mêmes pages chargées avec des user-agent différents (bizarrement tous sur Mac Intel, et avec un Edge 148 sur MacOS 10 qui semble incorrect), mais à partir d'hier il n'y a quasiment plus que celui de Firefox.
S'il n'y avait pas cette bizarrerie, je me demanderais s'il ne s'agirait pas d'une tentative d'indexation (pour un LLM ?) qui passerait par un proxy résidentiel.

Dans tous les cas, c'est effectivement étrange que des plages entières d'IP Free Pro participent.
Ca suggère que soit l'attaquant a un accès direct au réseau Free Pro (spoofing ? accès interne ?), soit que des Freebox Pro ont été piratées.

Hammett · « **Réponse #3 le:** **Aujourd'hui** à 13:00:06 »

Bon courage @vivien, tu les auras

acut3 · « **Réponse #4 le:** **Aujourd'hui** à 13:04:52 »

Je n'ai regardé que 153.52.219.0/24, mais sur ce range on voit que :

toutes les IP, sans exception, font tourner un proxy http (Squid) sur les ports 40000 et 60000
la plupart ont aussi un proxy sock5 sur le port 10801, et autre service non identifié sur le port 1180 (normalement réservé pour un proxy Millicent, qui est apparemment utilisé pour des transactions financières < 1 centime)

Donc ça m'a tout l'air d'être une infrastructure de proxies résidentiels. Les proxies demandent une authentification. Si je devais parier je dirais que le truc Millicent est utilisé pour facturer l'accès ?

vivien · « **Réponse #5 le:** **Aujourd'hui** à 13:08:28 »

Si c'était une tentative d'indexation pour un LLM, il n'y aurait pas les mêmes URL demandées de multiples fois.

Sur le PDF ci-dessous, j'ai classé les requêtes non plus par date, mais par ordre alphabétique, ce qui permet de voir qu'il demande de multiples fois sa liste d'URL :

(cliquez sur la miniature ci-dessous - le document est au format PDF)

alain_p · « **Réponse #6 le:** **Aujourd'hui** à 13:14:39 »

C'est étrange, cela fait craindre que des appareils du réseau Free pro aient été compromis. J'espère que cela intéressera des ingénieurs Free pro...

vivien · « **Réponse #7 le:** **Aujourd'hui** à 13:18:01 »

Citation de: acut3 le Aujourd'hui à 13:04:52

Je n'ai regardé que 153.52.219.0/24, mais sur ce range on voit que :
toutes les IP, sans exception, font tourner un proxy http (Squid) sur les ports 40000 et 60000
la plupart ont aussi un proxy sock5 sur le port 10801, et autre service non identifié sur le port 1180 (normalement réservé pour un proxy Millicent, qui est apparemment utilisé pour des transactions financières < 1 centime)

Donc ça m'a tout l'air d'être une infrastructure de proxies résidentiels. Les proxies demandent une authentification. Si je devais parier je dirais que le truc Millicent est utilisé pour facturer l'accès ?

Voici les plages IP de l'attaque d'hier après-midi (pas que Free Pro). J'ai supprimé les plages /24 avec moins de 4 IPv4 attaquant et les IPv6 qui représentent 5% du volume, sinon le PDF fait des milliers de pages.

Document de gauche : Classé en fonction du nombre d'IPv4 attaquant le forum dans le /24. On voit qu'il y a quelques autres hébergeurs qui ont comportement proche de Free Pro.
Document de droite : Classé par plage IP
(cliquez sur les miniatures ci-dessous - les documents sont au format PDF)

Je peut sortir les IPv4 impliquée d'une plage si besoin.

Sur l'aprés-midi, quand je filtre sur les reqeutes de DDOS, j'ai :
- 301 865 requetes IPv4 non bloquées
- 11 579 requetes IPv6 non bloquées

IPv6 représente donc 3,8% des requetes (je n'ai pas mis les IPv6 dans les fichiers PDF).

acut3 · « **Réponse #8 le:** **Aujourd'hui** à 13:25:12 »

Citation de: alain_p le Aujourd'hui à 13:14:39

C'est étrange, cela fait craindre que des appareils du réseau Free pro aient été compromis. J'espère que cela intéressera des ingénieurs Free pro...

Vu que sur 153.52.219.0/24, aucune IP ne semble héberger d'autres serveurs que les 4 que j'ai cité, et que toutes les IP sans exception suivent le même modèle, il me semble peu probable qu'il s'agisse de box compromises.

A mon avis il est plus probable que Free revende certaines de ses IP à des services de proxies résidentiels... Ou qu'il le fasse sans savoir quelle utilisation en est faite.

Hugues · « **Réponse #9 le:** **Aujourd'hui** à 13:33:39 »

Comme je l'ai dit, c'est très a la mode le scrap agressif (et mal fait).

J'ai toujours eu un gros doute sur le fait que ce soit un DDoS car ça dure depuis trop longtemps.

acut3 · « **Réponse #10 le:** **Aujourd'hui** à 13:34:08 »

Citation de: vivien le Aujourd'hui à 13:18:01

Voici les plages IP de l'attaque d'hier après-midi (pas que Free Pro). J'ai supprimé les plages /24 avec moins de 4 IPv4 attaquant et les IPv6 qui représentent 5% du volume, sinon le PDF fait des milliers de pages.

En regardant vite fait quelques IP du haut autre que Free Pro, on exactement le même profil de machines : 4 ports ouverts, 40000, 60000, 1180 et 10801.

Donc clairement pas quelque chose de spécifique à Free, et ça va à mon avis dans le sens d'un service de proxies résidentiel qui louerait des IP d'ISP.

hwti · « **Réponse #11 le:** **Aujourd'hui** à 13:50:11 »

Citation de: acut3 le Aujourd'hui à 13:25:12

Vu que sur 153.52.219.0/24, aucune IP ne semble héberger d'autres serveurs que les 4 que j'ai cité, et que toutes les IP sans exception suivent le même modèle, il me semble peu probable qu'il s'agisse de box compromises.

A mon avis il est plus probable que Free revende certaines de ses IP à des services de proxies résidentiels... Ou qu'il le fasse sans savoir quelle utilisation en est faite.

Ah, en fait Jaguar Network a été renommé Free Pro, donc quasiment tous leurs blocs d'IP sont identifiés Free Pro SAS.
Du coup les plages d'IP pourraient effectivement être utilisées pour des serveurs internes (pas nécessairement des Freebox Pro), ou être louées à un de leurs clients.
Donc il faudrait signaler l'attaque et la présence de proxies résidentiels à leur contact abuse AT as30781 DOT net.