Vendredi dernier, le FBI a publié un rapport recommandant à tout le monde de redémarrer ses routeurs. La raison? "Les cyber-acteurs étrangers ont compromis des centaines de milliers de routeurs domestiques et professionnels et d'autres périphériques en réseau dans le monde".

C'est un PSA assez alarmant, mais aussi un peu vague. Comment savoir si votre routeur est infecté? Que pouvez-vous faire pour garder les logiciels malveillants à l'écart? Et, le plus important peut-être, un simple redémarrage peut-il vraiment éliminer la menace?

Quelle est la menace?

La recommandation du FBI fait suite à une menace de logiciel malveillant récemment découverte, VPNFilter, qui a infecté plus d'un demi-million de routeurs et de périphériques réseau, selon des chercheurs du groupe Cisco Talos Intelligence.

VPNFilter est "capable de rendre inutilisables les routeurs de petits bureaux et de bureaux à domicile", a déclaré le FBI. "Le malware peut potentiellement également collecter des informations transitant par le routeur."

Qui a distribué VPNFilter et dans quel but? Le ministère de la Justice estime que des pirates informatiques russes, travaillant sous le nom de Sofacy Group, utilisaient ce logiciel malveillant pour contrôler leurs appareils infectés.

Comment savez-vous si vous êtes infecté?

Malheureusement, il n’existe pas de moyen facile de savoir si votre routeur a été compromis par VPNFilter. Le FBI note seulement que "le malware cible les routeurs produits par plusieurs fabricants et les périphériques de stockage connectés au réseau par au moins un fabricant".

Ces fabricants sont les suivants: Linksys, Mikrotik, Netgear, QNAP et TP-Link. Toutefois, le rapport de Cisco indique que seul un petit nombre de modèles (un peu plus d'une douzaine au total) appartenant à ces fabricants ont été affectés par les programmes malveillants, et qu'ils sont pour la plupart plus anciens:

Linksys: E1200, E2500, WRVS4400N

Mikrotik: 1016, 1036, 1072

Netgear: DGN2200, R6400, R7000, R8000, WNR1000, WNR2000

QNAP: TS251, S439 Pro, autres périphériques NAS QNAP exécutant le logiciel QTS

TP-Link: R600VPN

Par conséquent, il est peu probable que vous utilisiez un routeur infecté. Bien sûr, vous ne pouvez jamais être trop prudent, alors parlons des moyens de résoudre le problème et, espérons-le, évitons qu'il ne se répande.

Un redémarrage fonctionnera-t-il vraiment?

Cela ne peut définitivement pas faire mal. Le redémarrage (ou le redémarrage) de votre routeur est une procédure sans danger et constitue en fait souvent l’une des premières étapes de dépannage lorsque vous rencontrez des problèmes de réseau ou de connectivité. Si vous avez déjà participé à un appel d’assistance technique en raison d’un problème d’Internet, il vous a probablement été conseillé de faire exactement cela.

Toutefois, selon cet article de Krebs on Security, qui cite le rapport Cisco susmentionné, le redémarrage seul ne suffira pas: "Une partie du code utilisé par VPNFilter peut encore persister jusqu'à ce que le périphérique affecté soit réinitialisé à ses paramètres d'usine."

Alors, est-il possible que le FBI ait mal interprété la recommandation de "réinitialisation" comme étant un "redémarrage"? Peut-être, mais en fin de compte, un ensemble d' usine est le seul moyen sûr de purger VPNFilter d'un routeur.

La bonne nouvelle: c’est un processus assez simple, qui nécessite généralement un peu plus que de maintenir un bouton de réinitialisation sur le routeur lui-même. La mauvaise nouvelle: c’est pénible car, une fois cela fait, vous devrez reconfigurer tous vos paramètres réseau. Consultez le manuel d'instructions de votre modèle pour obtenir de l'aide pour les deux étapes.

Quelles autres mesures devriez-vous prendre?

Nous avons contacté quelques-uns des fabricants susmentionnés pour solliciter leurs conseils en matière de lutte contre VPNFilter. Linksys a répondu en premier, notant que VPNFilter "prolifère en utilisant des vulnérabilités connues dans les versions antérieures du micrologiciel du routeur (que les clients n’ont pas mises à jour), ainsi qu’en utilisant des informations d’identification par défaut communes".

Leur conseil: appliquez le dernier firmware (quelque chose qui se produit automatiquement dans les routeurs les plus récents de Linksys), puis effectuez une réinitialisation des paramètres d'usine. Linksys recommande également de changer le mot de passe par défaut.

C'est aussi notre conseil. En gardant votre routeur corrigé avec le dernier micrologiciel et en utilisant un mot de passe unique (plutôt que celui fourni immédiatement), vous devriez pouvoir garder une longueur d'avance sur VPNFilter et d'autres types de programmes malveillants de ciblage de routeur.

Première publication le 29 mai à 11h33, heure de l'Est.

Mise à jour, le 30 mai à 8h27. PT: Selon le message d'intérêt public du FBI concernant VPNFilter, la recommandation de redémarrage ne vise pas à supprimer le logiciel malveillant, mais plutôt à "le perturber temporairement et à faciliter l'identification éventuelle des périphériques infectés". En d'autres termes, le FBI vous enrôle dans une opération de recherche et destruction. Il va sans dire que nous recommandons la mise à jour du micrologiciel susmentionnée et la réinitialisation des valeurs d'usine si vous possédez l'un des modèles de routeur concernés.