32 redémarrages d'affilée, 31 pubs pour McAfee, c'est le résultat du test mené par la chaîne Youtube Gamers Nexus sur un écran LG UltraGear 34GX900A-B branché à un PC tournant sous Windows. Puis au 32e démarrage, l'écran a eu la délicatesse de faire la promo d'un autre utilitaire LG, histoire de varier les plaisirs.
Sauf que personne n'a installé quoi que ce soit. L'app s'appelle "LG Monitor App Installer", elle débarque toute seule quand vous branchez le moniteur, et sa fiche technique sur le Microsoft Store réclame deux permissions qui piquent un peu : "toutes les ressources système" et "l'accès à votre connexion Internet". Pour un truc censé régler la luminosité de votre écran, on repassera donc sur la discrétion...
La vraie question que je me suis posée en découvrant cette histoire, c'est comment diable un câble HDMI arrive à faire atterrir un programme sur la machine ? Eh bien la réponse va vous plaire, parce que ce n'est ni un virus, ni un piratage, ni une faille mais bien une fonctionnalité de Windows (spéciale dédicace à l'Autorun, lool) !! Elle s'appelle device metadata, et elle traîne dans le système depuis Windows 7, à l'époque où il s'agissait surtout d'afficher proprement l'icône et le nom de votre imprimante.
L'astuce de LG fonctionne ainsi en 4 temps. Vous branchez le périphérique. Windows part interroger un service maison, Windows Metadata and Internet Services, pour récupérer les métadonnées du matériel. Ces métadonnées contiennent un identifiant qui pointe vers une app précise du Microsoft Store. Windows télécharge les pilotes si besoin + l'app, qu'il installe dans votre menu Démarrer. Et voilà, c'est fini comme dit Jean-Louis ! Vous n'avez cliqué sur rien du tout et vous récupérez leur Adware... Elle n'est pas belle la vie ???
Les conditions pour que ça se déclenche c'est simplement d'avoir accepté les "paramètres recommandés" à l'installation de Windows, être connecté au Microsoft Store, et être en ligne. Autrement dit, la configuration par défaut de la quasi-totalité des PC grand public. Si vous êtes hors ligne au moment du branchement, pas de souci, Windows patiente et retente plus tard.
Le meilleur, c'est ce que Microsoft explique lui-même dans sa propre doc à destination des dev, que "*La fonctionnalité d'installation automatique ne prévient pas l'utilisateur quand l'app est installée. Certains utilisateurs pourraient trouver cette expérience déroutante et frustrante, et mettre une mauvaise note à votre app. *". Tu m'étonnes John !
Ça veut surtout dire que le SEUL risque que Microsoft identifie, c'est la note qu'aura l'app sur le store. Ce n'est ni notre absence de consentement, ni ce que ça pourrait impliquer pour notre ordi. La note de cette app LG est d'ailleurs merdique... La prophétie s'est réalisée !!! lol
Cerise sur le gâteau, cette techno est officiellement dépréciée. Microsoft annonce son remplacement par un autre système, mais en attendant elle tourne toujours et elle installe toujours des merdouilles, par-ci par-là...
Mais alors qu'est-ce qu'elle pousse exactement, cette app LG ?
Hé bien un truc dont personne sur cette planète n'a jamais eu besoin, à savoir un essai gratuit de 30 jours pour McAfee Scam Detector, qui bascule ensuite sur un abonnement McAfee Plus Premium, à partir de 39,99 $ l'année (!!).
Actuellement, personne ne sait combien de machines sont touchées mais par contre, ce qu'on sait, c'est que les plaintes remontent à au moins 2024 sur les forums Microsoft, et que ça ne concerne pas que les modèles récents. Un LG UltraFine 32UN880-B acheté il y a 3 ans se comporte pareil. Et ni LG ni Microsoft n'ont publié le moindre communiqué à l'heure où j'écris ces lignes... (depuis, LG m'a répondu, voir la mise à jour en fin d'article)
Aussi, vous vous dites peut-être que c'est nouveau comme pratique mais pas du tout ! Y'a que le tuyau de diffusion qui s'est modernisé car il y a plus de 10 ans déjà, en 2015, Lenovo se faisait démonter pour
Superfish
, un adware préinstallé qui cassait le HTTPS avec son propre certificat racine. La même année, Dell se prenait le retour de flamme d'
eDellRoot
, un certificat livré avec sa clé privée dans la boîte. En 2017, on découvrait qu'un pilote audio
Conexant
livré chez HP enregistrait gentiment les frappes clavier. Alors bien sûr, à l'époque il fallait un PC entier pour se faire refourguer toute cette camelote et c'est vrai qu'aujourd'hui, suffit d'un écran et ensuite c'est Windows Update qui vous livre le bloatware.
Petite précision au passage, parce que j'ai vu plusieurs articles qui se sont emmêlés les pinceaux. De ce que moi j'ai compris, c'est que ce mécanisme n'a rien à voir avec l'ACR de LG, cette techno qui analyse ce que vous regardez sur les TV pour cibler la pub. Ce sont bien 2 sujets distincts puisque l'ACR, c'est du tracking de contenu sur les téléviseurs alors que le sujet dont je vous parle c'est de l'installation d'application via les métadonnées de périphérique sous Windows.
Alors si vous avez un écran LG, comment se protéger de ça ?
Le plus simple s'appelle
Win11Debloat
, un script PowerShell qui dispose depuis peu d'une option baptisée DisableDeviceAutoAppDownload qui coupe le robinet, et qui a ajouté LGElectronics.LGMonitorApp à sa liste d'apps supprimables. Ça permet de régler les deux problèmes d'un coup.
Après si vous préférez comprendre ce que vous faites plutôt que lancer un script, sachez qu'il écrit en réalité une seule valeur dans la base de registre :
Microsoft documente officiellement ce réglage pour les éditions Pro, Entreprise et Education, où vous le retrouvez en version cliquable via gpedit.msc, dans Configuration ordinateur > Modèles d'administration > Système > Installation de périphériques, au paramètre que Microsoft appelle "Prevent automatic download of applications associated with device metadata", que vous verrez traduit dans les Windows français. Après sur Windows Home il n'y a pas d'éditeur de stratégies, et rien ne garantit noir sur blanc que la clé y soit lue. Votre repli sûr, c'est donc le bouton planqué dans Panneau de configuration > Système > Paramètres système avancés > onglet Matériel.
Ce bouton, tiens. Je vous
montrais déjà comment le désactiver en 2019
, quand Windows vous demandait poliment si vous vouliez continuer à télécharger automatiquement les applications des fabricants de matériel. La question s'était donc déjà posée à l'époque et je l'avais complètement oublié...
Après, si vous voulez faire le ménage plus large sur une machine fraîchement installée,
SuperMSConfig
fait très bien le job, et
FlyOOBE
vous permet de reprendre la main dès l'écran de première configuration, là où ces fameux "paramètres recommandés" se cochent tout seuls. Parce qu'au fond, les
logiciels de merde installés d'office par les constructeurs
, c'est un sport qui n'a jamais vraiment pris sa retraite.
Voilà, moi je pense qu'un écran ou n'importe quel périphérique ne devrait pas avoir le droit d'installer des trucs chez vous, qui est le pire pour nous balancer de la pub !
Mise à jour du 21 juillet 2026 - LG m'a fait parvenir une réponse par l'intermédiaire de son agence de communication. Je vous la mets telle quelle :
"LG Electronics réaffirme que McAfee n'est pas installé automatiquement et n'est jamais installé sans le consentement explicite de l'utilisateur. Le programme d'installation de l'application LG Monitor est distribué via le processus officiel de distribution Windows de Microsoft, qui incluait McAfee en option. McAfee ne sera installé que si l'utilisateur choisit activement de poursuivre l'installation et donne son consentement."
Alors sur ce point précis, LG a raison, et je n'ai jamais écrit le contraire. Ce que Gamers Nexus a filmé, c'est une pop-up qui vous propose l'essai McAfee 31 fois sur 32 démarrages, pas un antivirus qui s'installe en douce dans votre dos. Il faut cliquer pour l'avoir.
Sauf que le reproche n'a jamais porté là-dessus. Le truc qui coince, c'est l'app LG Monitor elle-même, celle qui atterrit sur votre machine sans vous demander votre avis et qui réclame "toutes les ressources système". Et ça, LG ne le conteste pas du tout, LG le confirme même : "distribué via le processus officiel de distribution Windows de Microsoft", c'est exactement le mécanisme device metadata que je décris plus haut. Le consentement dont ils parlent, c'est celui pour McAfee, une fois que l'app est déjà chez vous. Je note aussi le "incluait" au passé, sans que LG précise si l'app propose encore McAfee aujourd'hui.
Deuxième partie de la réponse, LG tient à préciser que ses téléviseurs "ne collectent, n'enregistrent ni ne stockent les conversations ambiantes", et que la reconnaissance vocale est une fonctionnalité optionnelle, lancée par l'utilisateur, qu'on peut ne jamais activer. Ce qui tombe plutôt bien vu que je disais justement plus haut que la TV et l'écran PC, ce sont deux sujets différents. Je relève quand même que ce démenti parle du micro, pas de l'ACR.
Et à l'heure où j'écris cette mise à jour, LG n'a toujours rien publié de public sur le sujet. La réponse est arrivée dans ma boîte mail.
Depuis le début des années 2000, les botnets ont profondément transformé le paysage de la cybercriminalité. D’abord utilisés pour envoyer des campagnes massives de spam ou lancer des attaques par déni de service (DDoS), ils sont progressivement devenus de véritables plateformes criminelles, capables de diffuser des malwares, déployer des ransomwares, réaliser de la fraude publicitaire (Ad Fraud), fournir des proxys résidentiels ou encore être loués sous forme de Botnet-as-a-Service (BaaS).
Cette évolution s’est accompagnée de nombreux changements techniques : apparition des architectures pair-à-pair (P2P), des algorithmes DGA, du Fast Flux DNS, des rootkits, puis des botnets ciblant les objets connectés (IoT) et les Android TV Box. Les opérations de démantèlement menées par Microsoft, Europol, le FBI et d’autres acteurs ont également joué un rôle majeur dans cette course permanente entre cybercriminels et défenseurs.
Dans ce dossier, découvrez l’histoire des botnets, leur évolution au fil des années, les principaux réseaux qui ont marqué la cybersécurité, les grandes opérations de démantèlement et les nouvelles tendances qui façonnent les botnets modernes.
En un peu plus de vingt ans, les botnets ont profondément évolué. D’abord simples réseaux d’ordinateurs Windows contrôlés via des serveurs IRC, ils sont progressivement devenus des plateformes criminelles sophistiquées capables de diffuser des malwares, lancer des attaques DDoS, exploiter des objets connectés ou fournir des services de proxys résidentiels.
La frise ci-dessous résume les principales étapes de cette évolution.
Les premiers botnets (2000-2006)
Les premiers botnets apparaissent au début des années 2000, à une époque où Internet connaît une forte croissance et où les ordinateurs personnels sont de plus en plus connectés en permanence. Les cybercriminels découvrent alors qu’il est beaucoup plus efficace de contrôler des milliers d’ordinateurs à distance que d’agir depuis leur propre machine.
À cette époque, les botnets restent relativement simples. Ils sont principalement composés de PC Windows infectés et utilisent un modèle client/serveur reposant sur des serveurs IRC (Internet Relay Chat). Les ordinateurs compromis rejoignent automatiquement un canal de discussion (channel), sur lequel le botmaster envoie ses commandes.
Le fonctionnement est alors le suivant :
Ces premiers botnets sont utilisés pour plusieurs activités malveillantes :
Lancer des attaques DDoS
Envoyer des campagnes de spam
Télécharger et installer d’autres malwares
Ouvrir une porte dérobée (backdoor) sur les ordinateurs infectés
Parmi les botnets les plus connus de cette période figurent :
Botnet
Particularité
GTBot
L’un des premiers botnets basés sur IRC.
Agobot (Gaobot)
Très modulaire, il exploitait de nombreuses vulnérabilités Windows et pouvait lancer des attaques DDoS.
SDBot
Botnet IRC largement diffusé, souvent utilisé pour des attaques DDoS et l’installation d’autres malwares.
SpyBot
Utilisé pour le contrôle à distance, les attaques DDoS et le téléchargement de nouveaux composants malveillants.
À cette époque, les botnets étaient encore principalement développés par des individus ou de petits groupes. Leur objectif était souvent de démontrer leurs compétences techniques, de perturber des services en ligne ou de contrôler un grand nombre de machines.
Cette période marque toutefois les débuts d’une évolution qui transformera progressivement les botnets en véritables infrastructures criminelles, capables de générer des revenus importants grâce au spam, au vol de données, à la fraude publicitaire ou encore aux proxys résidentiels. Les années suivantes verront apparaître des botnets beaucoup plus massifs, comme Storm puis Conficker, qui changeront profondément l’échelle de la cybercriminalité.
2007-2012 : les grands botnets Windows
Entre 2007 et 2012, les botnets connaissent une croissance spectaculaire. Cette période est souvent considérée comme l’âge d’or des botnets Windows. Grâce aux campagnes massives de spam, aux vers informatiques (worms) et à l’exploitation de failles de sécurité, certains réseaux atteignent plusieurs millions d’ordinateurs infectés.
Les cybercriminels commencent également à se structurer. Les botnets ne sont plus uniquement développés par des passionnés ou de petits groupes, mais par de véritables organisations criminelles, où chacun possède un rôle bien défini : développement des malwares, gestion des serveurs, diffusion des infections, exploitation des données et blanchiment des revenus.
Les principaux botnets de cette période sont les suivants.
L’un des plus importants spambots au monde, capable d’envoyer jusqu’à 200 millions de spams par jour.
Cutwail (Pushdo)
2007
Immense réseau spécialisé dans l’envoi de courriers indésirables et de campagnes de phishing.
Waledac
2008
Botnet de spam utilisant des techniques avancées de communication P2P.
Kelihos
2010
Successeur de Waledac, principalement utilisé pour le spam et le téléchargement d’autres malwares.
Durant cette période, les spambots dominent largement le paysage. Les revenus proviennent principalement :
de l’envoi massif de courriers indésirables (spam) ;
des campagnes de phishing ;
de la diffusion de faux antivirus (rogues) ;
de l’installation d’autres malwares.
Plusieurs botnets commencent à intégrer des rootkits afin d’améliorer leur discrétion. Un rootkit permet de masquer les fichiers, les processus, les connexions réseau ou encore les clés du Registre utilisés par le malware. Cette technique rend la détection beaucoup plus difficile et permet au botnet de rester actif pendant de longues périodes sans être remarqué. Des botnets comme Rustock ou, plus tard, TDSS (Alureon) illustrent parfaitement cette évolution.
Parallèlement, les techniques utilisées par les botnets évoluent rapidement. Les opérateurs mettent en place des architectures P2P, des algorithmes DGA (Domain Generation Algorithm) et des communications chiffrées afin de rendre leur démantèlement plus difficile.
Cette période marque également le début des grandes opérations internationales de démantèlement. Microsoft, les éditeurs de sécurité et les forces de l’ordre commencent à coordonner leurs actions afin de saisir les serveurs de commande (C2), mettre en place des sinkholes DNS et neutraliser les infrastructures utilisées par les cybercriminels.
À partir de 2010, le modèle économique évolue progressivement. Les botnets ne servent plus uniquement à envoyer du spam : ils deviennent des plateformes de services, capables de distribuer d’autres malwares, de réaliser de la fraude publicitaire ou de générer des revenus grâce à de nouvelles activités criminelles. Cette professionnalisation ouvrira la voie à la génération suivante de botnets, comme ZeroAccess, TDSS ou Necurs.
2009 – down en 2009 par FireEye, remis en ligne un mois après.
Gheg (Tofsee/Mondera)
50 000 à 70 000
2013
Xarvester (Rlsloup/Pixoliz)
20 000 à 36 000
2010
2010-2015 : la professionnalisation des botnets
À partir de 2010, les botnets évoluent profondément. Les cybercriminels ne cherchent plus seulement à envoyer du spam ou à lancer des attaques DDoS : ils transforment leurs infrastructures en véritables plateformes criminelles, capables de générer des revenus de multiples façons.
Les groupes derrière ces botnets deviennent également beaucoup plus organisés. Ils se répartissent les tâches entre plusieurs équipes spécialisées :
Les développeurs, qui conçoivent les malwares et les techniques d’évasion.
Les opérateurs, qui administrent le botnet et les serveurs C2.
Les équipes chargées de la diffusion, qui infectent de nouveaux appareils.
Les affiliés, qui monétisent le botnet via différentes activités criminelles.
Cette période voit également apparaître les premiers modèles de Malware-as-a-Service (MaaS). Certains groupes vendent ou louent leurs malwares, tandis que d’autres paient pour faire installer leurs propres logiciels malveillants sur des ordinateurs déjà compromis.
Les botnets les plus emblématiques de cette période sont les suivants.
Botnet P2P spécialisé dans le cryptominage et la fraude publicitaire (Ad Fraud).
Citadel
2011
Évolution de Zeus, largement utilisée pour les attaques bancaires et les campagnes de malware.
Ponmocup
2011
L’un des plus grands botnets de téléchargement (downloader), utilisé pour installer d’autres malwares.
Necurs
2012
Immense botnet spécialisé dans le spam et la distribution de ransomwares et de chevaux de Troie bancaires.
Les activités évoluent elles aussi rapidement. Les opérateurs ne se limitent plus au spam et développent de nouvelles sources de revenus :
Fraude publicitaire (Ad Fraud) en simulant des clics sur des publicités.
Cryptominage, utilisant la puissance de calcul des ordinateurs compromis.
Installation de chevaux de Troie bancaires, comme Zeus ou Citadel.
Distribution d’autres malwares, les groupes étant rémunérés pour installer un logiciel malveillant sur les appareils infectés.
Services de proxy, revendant déjà l’accès à des connexions Internet compromises.
Cette période marque également une avancée technique importante. Les botnets adoptent progressivement :
Les architectures P2P, afin d’éliminer les points de défaillance uniques.
Les algorithmes DGA, pour renouveler automatiquement les domaines utilisés par les serveurs C2.
Les rootkits, qui masquent le malware et renforcent sa persistance.
Des communications chiffrées, rendant l’analyse réseau beaucoup plus difficile.
ZeroAccess (également connu sous les noms Sirefef ou Max++) est un malware et un botnet apparu vers 2011. Il se distingue par son architecture pair-à-pair (P2P), qui le rend particulièrement résistant aux tentatives de démantèlement.
Contrairement aux spambots de l’époque, ZeroAccess est principalement utilisé pour la fraude publicitaire (click fraud) et, sur certaines variantes, pour le cryptominage de Bitcoin. Il peut également télécharger et installer d’autres logiciels malveillants sur les ordinateurs compromis.
Au plus fort de son activité, la taille du botnet est estimée entre 1,9 et 2,2 millions d’ordinateurs infectés, avec environ 800 000 bots actifs simultanément selon Microsoft.
En 2013, une opération conjointe menée par Microsoft, Europol (EC3), le FBI et plusieurs partenaires industriels, dont A10 Networks, a fortement perturbé le botnet en neutralisant une partie de son infrastructure. Malgré cela, son architecture P2P lui a permis de survivre plusieurs mois avant de perdre progressivement de son importance
Les grandes opérations internationales de démantèlement se multiplient également. Des botnets comme Citadel, ZeroAccess ou TDSS subissent d’importantes perturbations grâce à la coopération entre les éditeurs de sécurité, les hébergeurs, les registrars et les forces de l’ordre.
Cette professionnalisation prépare l’arrivée d’une nouvelle génération de botnets. À partir de 2016, les cybercriminels ne ciblent plus uniquement les ordinateurs : les objets connectés (IoT) deviennent à leur tour une cible privilégiée, ouvrant la voie à des botnets comme Mirai, capables de contrôler des centaines de milliers de caméras IP, de routeurs et d’autres équipements connectés.
2016 : l’arrivée des objets connectés
L’année 2016 marque un tournant majeur dans l’histoire des botnets. Jusqu’alors, les cybercriminels ciblaient principalement les ordinateurs Windows. Avec l’essor des objets connectés (IoT), ils découvrent un nouveau terrain de jeu : des millions d’appareils connectés à Internet, souvent mal sécurisés et laissés avec leurs paramètres par défaut.
Les premières victimes sont notamment :
Les caméras IP
Les routeurs
Les enregistreurs vidéo (DVR)
Les box Internet
Les objets connectés utilisant Linux embarqué
Le botnet qui symbolise cette évolution est Mirai, découvert en 2016.
Botnet
Année
Particularité
Mirai
2016
Premier botnet IoT de très grande ampleur, exploitant les mots de passe par défaut des objets connectés pour lancer des attaques DDoS massives.
Linux/Moose
2015
Botnet ciblant les routeurs Linux afin de détourner le trafic réseau et les réseaux sociaux.
Rakos
2016
Ver Linux ciblant principalement les serveurs et les objets connectés mal configurés.
Contrairement aux botnets Windows de la décennie précédente, Mirai ne reposait pas sur des failles complexes. Il exploitait principalement un problème très courant : les identifiants administrateur par défaut laissés inchangés sur les appareils connectés.
Une fois compromis, les équipements rejoignaient automatiquement le botnet et pouvaient recevoir des ordres pour lancer des attaques DDoS.
Mirai s’est illustré par plusieurs attaques historiques :
En septembre 2016, une attaque de plus de 620 Gbit/s contre le site du journaliste Brian Krebs.
Quelques jours plus tard, une attaque dépassant 1 Tbit/s contre l’hébergeur français OVH.
En octobre 2016, l’attaque contre le fournisseur DNS Dyn, qui a perturbé l’accès à de nombreux services majeurs comme Twitter, GitHub, Netflix, Reddit, Spotify et Airbnb.
Ces événements ont mis en évidence une réalité inquiétante : des appareils peu puissants, mais très nombreux, peuvent générer des attaques d’une ampleur considérable.
À partir de cette période, les opérateurs de botnets ne ciblent plus uniquement les ordinateurs. Les objets connectés (IoT) deviennent une cible privilégiée, car ils présentent plusieurs avantages :
Ils restent allumés en permanence.
Ils sont rarement mis à jour.
Ils utilisent encore des mots de passe par défaut.
Leurs propriétaires surveillent peu leur activité réseau.
Cette évolution ouvre la voie à une nouvelle génération de botnets spécialisés dans les objets connectés. Les années suivantes verront apparaître des variantes toujours plus sophistiquées, comme Mozi, puis plus récemment BADBOX 2.0 et Kimwolf, qui ne se limitent plus aux attaques DDoS mais exploitent également les appareils compromis comme proxys résidentiels ou plateformes de monétisation.
2017-2020 : les botnets deviennent des plateformes criminelles
À partir de 2017, les botnets changent une nouvelle fois de dimension. Ils ne sont plus seulement utilisés pour envoyer du spam ou lancer des attaques DDoS : ils deviennent de véritables plateformes de cybercriminalité, capables de fournir différents services selon les besoins des groupes criminels.
Les opérateurs cherchent désormais à rentabiliser au maximum chaque appareil compromis. Un même botnet peut être utilisé successivement pour diffuser un malware, installer un ransomware, voler des données ou encore relayer du trafic Internet.
Parmi les botnets les plus représentatifs de cette période figurent :
Botnet
Année
Particularité
Emotet
2017
D’abord cheval de Troie bancaire, il devient une plateforme de distribution de malwares utilisée par de nombreux groupes criminels.
TrickBot
2017
Malware modulaire capable de télécharger d’autres charges utiles, notamment des ransomwares comme Ryuk ou Conti.
QakBot (Qbot)
2018
Cheval de Troie bancaire devenu une plateforme d’accès initial pour les opérateurs de ransomware.
Necurs
Jusqu’en 2020
L’un des plus grands spambots au monde, utilisé pour diffuser Locky, Dridex et d’autres malwares.
De nouvelles méthodes d’infections par mail
Les méthodes d’infection évoluent également durant cette période. Les cybercriminels délaissent progressivement les vers informatiques exploitant des failles réseau au profit de campagnes massives de phishing.
Les victimes reçoivent des e-mails imitant des factures, des bons de livraison, des devis ou des documents administratifs, contenant une pièce jointe ou un lien malveillant.
Les fichiers utilisés sont notamment :
Des documents Microsoft Word ou Excel contenant des macros malveillantes.
Des archives ZIP renfermant des scripts.
Des fichiers JavaScript (.js), VBScript (.vbs), Windows Script File (.wsf) ou JScript Encoded (.jse), exécutés par Windows Script Host (WSH).
Des raccourcis Windows (.lnk), devenus très populaires à partir de 2021.
Plus rarement, des fichiers ISO ou IMG, qui permettaient de contourner certaines protections de Windows.
Une fois exécuté, le premier malware installé (souvent appelé loader ou dropper) télécharge les différents composants du botnet, puis établit la communication avec les serveurs de commande (C2).
Cette évolution marque le passage d’attaques principalement techniques à des campagnes reposant largement sur l’ingénierie sociale, où le facteur humain devient la principale porte d’entrée des botnets modernes.
Contrairement aux générations précédentes, ces botnets ne cherchent plus uniquement à contrôler des ordinateurs. Ils servent également de porte d’entrée (Initial Access) vers les réseaux d’entreprises.
Ouvrir un accès distant pour d’autres groupes criminels
Cette évolution s’accompagne d’une professionnalisation du cybercrime. Les différents acteurs se spécialisent :
certains développent les malwares ;
d’autres diffusent les infections ;
d’autres encore exploitent les accès obtenus pour déployer un ransomware ou voler des données.
Les botnets deviennent ainsi de véritables plateformes de services, où un accès à un ordinateur compromis peut être revendu ou loué à d’autres groupes criminels. Ce modèle économique annonce l’émergence du Botnet-as-a-Service (BaaS) et du Malware-as-a-Service (MaaS), qui se développeront fortement au cours des années suivantes.
Cette période marque également une montée en puissance des malwares modulaires. Plutôt que d’effectuer une seule tâche, ils téléchargent dynamiquement les composants nécessaires en fonction des objectifs du botmaster, ce qui les rend beaucoup plus flexibles et difficiles à détecter.
À partir de 2020, une nouvelle évolution apparaît : les cybercriminels s’intéressent de plus en plus aux objets connectés, aux Android TV Box et aux proxys résidentiels, ouvrant la voie à des botnets comme BADBOX 2.0 ou Kimwolf, dont l’objectif principal n’est plus seulement l’attaque, mais également la monétisation de la connexion Internet des victimes.
Depuis 2020 : les botnets deviennent des plateformes de services
Depuis 2020, les botnets connaissent une nouvelle évolution. Leur objectif n’est plus uniquement de contrôler un grand nombre d’ordinateurs, mais de rentabiliser chaque appareil compromis en proposant différents services à d’autres groupes cybercriminels.
Cette nouvelle génération se caractérise par plusieurs tendances :
Les malwares modulaires permettent d’ajouter ou de supprimer des fonctionnalités à distance.
Les infrastructures sont de plus en plus distribuées et résilientes, rendant leur démantèlement plus complexe.
Les botnets les plus représentatifs de cette période sont les suivants.
Botnet
Année
Particularité
Emotet
2021 (retour)
Reprend son activité après son démantèlement et continue de servir de plateforme de distribution de malwares.
Mozi
2020
Botnet IoT basé sur une architecture P2P, ciblant principalement les routeurs et les objets connectés.
Glupteba
2020
Utilise la blockchain Bitcoin pour retrouver ses serveurs de commande et renforcer sa résilience.
BADBOX 2.0
2025
Botnet ciblant principalement les Android TV Box et autres appareils Android connectés afin d’alimenter un réseau de proxys résidentiels.
Kimwolf
2025
Botnet Android spécialisé dans les proxys résidentiels, le scan du réseau local et la compromission d’autres appareils Android.
L’une des principales évolutions concerne les appareils ciblés. Alors que les premiers botnets infectaient essentiellement des ordinateurs Windows, les cybercriminels visent désormais :
Les Android TV Box
Les box IPTV
Les téléviseurs connectés
Les routeurs
Les caméras IP
Les NAS
Les objets connectés (IoT)
Ces appareils présentent plusieurs avantages : ils restent généralement allumés en permanence, reçoivent peu de mises à jour de sécurité et leurs propriétaires surveillent rarement leur activité réseau.
Les objectifs des opérateurs ont également évolué. Les botnets modernes sont désormais utilisés pour :
Fournir des services de proxys résidentiels
Effectuer du web scraping à grande échelle
Contourner les systèmes anti-bot et les CAPTCHA
Réaliser de la fraude publicitaire (Ad Fraud)
Distribuer d’autres malwares ou des ransomwares
Louer leur infrastructure sous forme de Botnet-as-a-Service (BaaS)
Une autre évolution importante est l’apparition de SDK de proxy résidentiel intégrés directement dans certaines applications ou de firmwares compromis installés sur des appareils dès leur fabrication. Dans ces scénarios, aucun malware classique n’est nécessaire : l’appareil peut relayer du trafic Internet simplement parce qu’il embarque un composant prévu à cet effet.
Cette nouvelle génération montre que les botnets ne sont plus uniquement des réseaux de machines zombies. Ils sont devenus de véritables plateformes de services, capables de monétiser la bande passante, les adresses IP et les ressources de millions d’appareils connectés répartis dans le monde entier.
Virus de fichiers devenu un Trojan bancaire et un botnet de vol de données.
Tous les botnets n’ont pas connu la même notoriété que Storm, Conficker, Mirai ou Emotet. De nombreux réseaux plus spécialisés ont marqué l’évolution de la cybercriminalité en se concentrant sur la fraude bancaire, le click fraud, les réseaux sociaux ou encore la distribution d’autres malwares. Certains, comme Zeus ou TDSS, ont profondément influencé les générations suivantes de malwares.
Les principaux démantèlements de botnets
Depuis le début des années 2010, de nombreuses opérations internationales ont permis de neutraliser certains des plus grands botnets de l’histoire. Elles sont généralement menées par les forces de l’ordre, des organismes comme Europol, Interpol, le FBI, ainsi que des entreprises telles que Microsoft, Google, Lumen, ESET, Symantec ou CrowdStrike.
Le tableau ci-dessous présente les opérations les plus marquantes.
Année
Botnet
Opération
Taille estimée
Résultat
2010
Waledac
Microsoft Sinkhole
~90 000 bots
Saisie des domaines et mise en place d’un sinkhole DNS.
2011
Rustock
Operation b107
~800 000 bots
Saisie des serveurs C2, forte baisse mondiale du spam.
2012
Bamital
Microsoft / Symantec
~120 000 bots
Redirection des bots vers des serveurs de désinfection.
Prise de contrôle du C2 et désinstallation automatique du malware.
2021
Emotet
Europol / Eurojust
Plusieurs centaines de milliers de machines
Les serveurs C2 sont saisis et un désinstalleur est diffusé.
2023
QakBot
Operation Duck Hunt
~700 000 appareils
Infrastructure saisie et malware neutralisé.
2023
Mozi
Collaboration internationale
Plusieurs millions d’appareils IoT
Les opérateurs diffusent une mise à jour mettant fin au botnet.
Ces opérations montrent que les botnets ne sont pas invulnérables, mais leur démantèlement nécessite souvent plusieurs mois, voire plusieurs années d’enquête. Les opérateurs utilisent des techniques de plus en plus sophistiquées (P2P, DGA, Fast Flux DNS, Tor, blockchain, etc.) afin de rendre leur infrastructure plus résiliente et de compliquer les opérations des autorités.
Conclusion
En un peu plus de vingt ans, les botnets ont profondément évolué. D’abord limités à quelques centaines ou milliers d’ordinateurs Windows contrôlés via des serveurs IRC, ils sont devenus de véritables plateformes criminelles capables de piloter des millions d’appareils connectés, de diffuser des malwares, de lancer des attaques DDoS, de voler des données ou encore de fournir des services de proxys résidentiels.
Cette évolution illustre parfaitement la professionnalisation de la cybercriminalité. Les opérateurs de botnets s’appuient désormais sur des architectures distribuées, des malwares modulaires et des modèles économiques comme le Botnet-as-a-Service (BaaS) afin de rendre leurs infrastructures plus rentables et plus difficiles à démanteler.
Si les grandes opérations internationales ont permis de neutraliser plusieurs botnets emblématiques comme Rustock, ZeroAccess, Emotet ou QakBot, de nouveaux réseaux apparaissent régulièrement en ciblant les objets connectés, les équipements Android ou d’autres appareils insuffisamment sécurisés.
Comprendre l’histoire des botnets permet également de mieux comprendre les menaces actuelles. Les techniques employées aujourd’hui — phishing, chevaux de Troie, loaders, ransomware ou compromission d’objets connectés — sont souvent directement héritées de cette évolution.
La meilleure protection reste d’adopter de bonnes pratiques de sécurité : maintenir Windows et ses logiciels à jour, utiliser un antivirus, se méfier des pièces jointes et des liens suspects, sécuriser les appareils connectés et remplacer les mots de passe par défaut des équipements réseau et IoT.
Besoin d'un antivirus sur votre PC Linux ? Découvrez ClamUI, l'interface graphique de ClamAV : installation, scan, protection en temps réel et quarantaine.
De faux CAPTCHA circulent actuellement sur de nombreux sites web et servent à infecter les ordinateurs avec des malwares.
Ces pages frauduleuses imitent des services connus comme :
Google reCAPTCHA
Cloudflare
hCaptcha
afin de pousser l’utilisateur à exécuter une action dangereuse sur son PC.
Les victimes sont généralement invitées à :
Ouvrir la fenêtre Exécuter avec Windows + R
Copier/coller une commande PowerShell
Autoriser des notifications navigateur
Télécharger un script malveillant
Dans ce guide, découvrez comment reconnaître un faux CAPTCHA, comprendre le fonctionnement de cette arnaque et protéger votre PC contre ces attaques.
Qu’est-ce qu’un faux CAPTCHA malveillant
Les faux CAPTCHA sont des pages frauduleuses imitant les systèmes de vérification humaine utilisés sur internet, comme :
Google reCAPTCHA
Cloudflare Turnstile
Vérifications anti-bot
Leur objectif n’est pas de vérifier que vous êtes humain, mais de vous pousser à exécuter une action dangereuse sur votre ordinateur afin d’infecter le PC avec un malware.
Contrairement à un vrai CAPTCHA, ces fausses pages demandent souvent :
D’ouvrir la fenêtre Exécuter avec Windows + R
De copier/coller une commande PowerShell
D’autoriser des notifications navigateur
Ou d’exécuter un script malveillant
Les cybercriminels utilisent cette technique pour contourner les protections de sécurité et faire exécuter eux-mêmes le malware par l’utilisateur.
Les faux CAPTCHA imitent les systèmes de vérification utilisés par des services connus comme :
Google reCAPTCHA
Cloudflare
hCaptcha
Vérifications anti-bot
L’objectif est de donner l’impression qu’il s’agit d’une vérification de sécurité légitime afin de pousser l’utilisateur à effectuer une action dangereuse.
Les éléments typiques des faux CAPTCHA
Élément affiché
Objectif des cybercriminels
“Je ne suis pas un robot”
Inspirer confiance avec une interface connue
Faux logo Cloudflare ou Google
Faire croire à une protection officielle
Message “Vérification humaine requise”
Créer un sentiment d’urgence ou de sécurité
Demande d’utiliser Windows + R
Faire exécuter une commande malveillante
Copier/coller une commande
Lancer PowerShell ou un script malware
Demande d’autoriser les notifications
Envoyer ensuite du spam ou des arnaques
Faux message de sécurité navigateur
Faire croire à un blocage légitime
Exemples de faux messages CAPTCHA malveillants
Les faux CAPTCHA utilisent souvent des phrases comme :
“Cliquez sur Autoriser pour vérifier que vous êtes humain”
“Appuyez sur Windows + R puis collez cette commande”
“Cloudflare Security Check”
“Votre navigateur nécessite une vérification”
“Confirmez que vous n’êtes pas un robot”
Certaines pages affichent également :
Une fausse animation de chargement
Un faux scan de sécurité
Un faux blocage navigateur
Des alertes de sécurité alarmantes
Quels malwares sont diffusés par les faux CAPTCHA
Les faux CAPTCHA sont aujourd’hui utilisés pour diffuser de nombreux types de malwares. Une fois la commande exécutée ou la permission accordée, le malware peut être téléchargé discrètement sur le PC sans que l’utilisateur s’en aperçoive immédiatement.
Les faux CAPTCHA sont particulièrement efficaces car :
L’utilisateur exécute lui-même la commande
Certains antivirus détectent difficilement l’attaque au départ
L’infection peut rester silencieuse plusieurs heures ou jours
Dans certains cas, les données volées sont revendues ou utilisées très rapidement après l’infection.
Comment reconnaître un faux CAPTCHA
Les faux CAPTCHA cherchent à imiter les systèmes de vérification légitimes afin de pousser l’utilisateur à exécuter une action dangereuse. Certains indices permettent toutefois de repérer rapidement une tentative d’arnaque.
Les signes d’un faux CAPTCHA malveillant
Élément suspect
Pourquoi c’est dangereux
Demande d’utiliser Windows + R
Un vrai CAPTCHA ne demande jamais d’ouvrir la fenêtre Exécuter
Copier/coller une commande PowerShell
Technique utilisée pour lancer un malware
Demande d’exécuter une commande système
Aucun service légitime ne demande cela via une page web
Faux message Cloudflare ou Google
Les cybercriminels imitent souvent des services connus
Bouton “Autoriser” pour les notifications
Peut déclencher du spam navigateur et des arnaques
Message alarmant ou urgent
Technique de manipulation pour pousser à agir rapidement
URL étrange ou inconnue
Les faux CAPTCHA utilisent souvent des domaines suspects
Téléchargement automatique
Un CAPTCHA ne doit jamais télécharger un fichier
Page plein écran bloquée
Souvent utilisée pour empêcher l’utilisateur de quitter la page
Les faux CAPTCHA imitent des services connus
Les cybercriminels copient souvent :
Google reCAPTCHA
Cloudflare
hCaptcha
Vérifications anti-bot
Les pages peuvent sembler très crédibles avec :
Logos officiels
Animations de chargement
Messages de sécurité
Interface proche des vrais CAPTCHA
L’objectif est de donner confiance afin que l’utilisateur :
Exécute une commande
Autorise des notifications
Télécharge un script malveillant
Que faire si vous avez exécuté une commande d’un faux CAPTCHA
Si vous avez exécuté la commande demandée par le faux CAPTCHA, il est possible que le PC ait été infecté par un malware, même si aucun fichier visible n’a été téléchargé.
Dans ce cas, il est recommandé d’agir rapidement afin de limiter les risques :
Déconnectez le PC d’internet
Fermez le navigateur
Lancez une analyse antivirus complète
Vérifiez les extensions du navigateur
Changez les mots de passe importants depuis un appareil sain
Contrôlez les sessions Google, Microsoft, Steam ou réseaux sociaux
Même si le PC semble fonctionner normalement, une infection peut rester discrète pendant plusieurs heures ou jours.
Guide complet pour supprimer un virus et désinfecter le PC :
Comment éviter les faux CAPTCHA et les pages malveillantes
Les faux CAPTCHA exploitent principalement la méfiance limitée des utilisateurs et les poussent à exécuter eux-mêmes des actions dangereuses. Quelques bonnes pratiques permettent toutefois d’éviter la grande majorité de ces arnaques.
Les règles de sécurité contre les faux CAPTCHA
Bonne pratique
Pourquoi c’est important
Ne jamais exécuter une commande depuis une page web
Un vrai CAPTCHA ne demande jamais cela
Ne jamais utiliser Windows + R à la demande d’un site
Technique fréquemment utilisée pour lancer des malwares
Refuser les notifications suspectes
Évite le spam navigateur et les arnaques
Vérifier l’adresse du site web
Les faux CAPTCHA utilisent souvent des domaines suspects
Maintenir Windows et le navigateur à jour
Corrige les failles de sécurité exploitées par les pirates
Utiliser un antivirus à jour
Permet de bloquer certaines attaques et scripts malveillants
Si une page web demande ce type d’action, il s’agit presque toujours d’une tentative d’infection ou d’arnaque visant à exécuter un malware sur votre PC
Sécuriser Windows et son navigateur contre les faux CAPTCHA
Pour limiter les risques :
Maintenez Windows Update actif
Utilisez Microsoft Defender ou un antivirus fiable
Connexion
A lire : 
