L'effroi d'une attaque CC (Challenge Collapsar, flood HTTP de couche application) est qu'elle ne nécessite aucune bande passante. Quelques milliers de requêtes quasi normales peuvent mettre un serveur d'application coûteux à genoux. Et les attaques CC d'aujourd'hui ont évolué au-delà du point où le « blocage IP + limitation de débit » classique fonctionne encore. Cet article dissèque l'arsenal CC moderne et la façon dont les défenseurs doivent répondre.

1. Du botnet à l'économie des « IP propres »

Le CC initial utilisait des PC infectés à mauvaise réputation – faciles à bloquer. Les attaquants se tournent désormais vers des pools de proxys résidentiels et mobiles :

  • Ces proxys proviennent de vraies IP domiciliaires/mobiles (agrégées via des apps de « partage de bande passante » comme Honeygain, Peer2Profit) et ont d'excellente réputation d'IP, rendant inutiles les listes de blocage IP traditionnelles.
  • Les attaquants louent à la demande (par Go ou par IP) ; le botnet devient un « abonnement à du trafic propre ».
  • Combinés à des services proxy commerciaux (ou des versions abusées de Luminati/Bright Data), ils peuvent mobiliser instantanément des centaines de milliers d'IP sur de vrais ASN.

2. Les navigateurs headless : déguisés en « vrais humains »

Le CC moderne utilise massivement des navigateurs headless (Headless Chrome / Puppeteer / Playwright) :

  • Ils exécutent du JavaScript, chargent des pages complètes et passent automatiquement les challenges front-end (ex. puzzles JS).
  • Ils portent de vraies empreintes TLS (JA3/JA4) et empreintes de navigateur (canvas, WebGL, polices), rendant l'empreinte de l'appareil difficile.
  • Combinés à des fermes CAPTCHA (crowdsourcing humain ou décodage IA), même les tests de Turing sont contournés.

Résultat : chaque requête ressemble à un humain – session complète, empreintes correctes, challenges passés. Les WAF basés sur des règles deviennent quasi aveugles face à ce trafic.

3. Requêtes générées par IA : faire passer « l'anomalie » pour « normal »

La tendance la plus récente : les attaquants utilisent IA/LLM pour générer des séquences de requêtes hyper-réalistes :

  • Ajustement automatique des intervalles (jitter), UA et distribution des chemins, afin que la courbe de trafic corresponde aux statistiques « d'utilisateurs naturels ».
  • Imitation des entonnoirs de clic réels des utilisateurs (accueil→liste→détail→commande) au lieu de répéter mécaniquement une URL.
  • Cela fait échouer continuellement la détection « basée sur seuil » – l'attaquant lisse activement l'anomalie en normalité.

4. Low-and-slow et convergence avec la prise de compte

CC converge avec d'autres menaces :

  • Low-and-slow : Slowloris, RUDY – ne relâchent pas connexions/requêtes, épuisent pools de connexions et workers à un débit minuscule.
  • Credential stuffing : le même pool proxy et les navigateurs headless pivotent vers la prise de compte – CC et sécurité des comptes partagent un arsenal.
  • Abus d'API : les flots précis contre les API login/recherche/query sont plus destructeurs que de marteler la page d'accueil.

5. L'architecture de défense moderne

  • Challenge comportemental à la périphérie (Managed Challenge) : émettre des challenges non intrusifs (challenge JS implicite, proof-of-work respectueux de la vie privée) au bord CDN/scrubbing – les IP « propres » aussi sont challengées, car le jugement est comportemental, pas basé sur l'IP.
  • Empreintes et JA4 : extraire JA4 à la couche TLS et JA4H à la couche HTTP pour corréler « le trafic de variante d'un outil » même quand les IP sont dispersées.
  • Biométrie comportementale + ML : modéliser le rythme de session humain vs machine, le graphe de requêtes avec ML – pas de règles statiques.
  • Coupe-circuit au niveau métier : limites de débit indépendantes et score d'anomalie sur les points de terminaison critiques (login/commande) pour qu'un point chaud ne fasse pas tomber le site.
  • Allowlist des bons bots : autoriser explicitement moteurs de recherche, monitoring, partenaires pour réduire les faux positifs.

Conclusion

L'essence du CC moderne est « envelopper l'intention malveillante dans un extérieur propre » – IP résidentielles + navigateurs headless + réalisme IA font que le trafic paraît bénin sur chaque dimension statique. La seule issue est l'identification dynamique, comportementale et challengeée cryptographiquement à la périphérie, pas davantage de listes de blocage IP. Lorsque les attaquants lissent « l'anomalie » en « normal », votre défense doit voir à travers l'automatisation sous le « normal ». C'est précisément pour cela qu'il existe une « analyse comportementale profonde » dans une architecture de scrubbing à deux couches.