Qu'est-ce que Anonymous Sudan ?

Origines et attribution contestée

Anonymous Sudan est apparu pour la première fois sur un canal Telegram russophone en janvier 2023, peu après un brûlement public du Coran par l'activiste d'extrême droite Rasmus Paludan en Suède. Sa mission déclarée était d'attaquer tout pays ou organisation qu'il considérait comme engagé dans des activités anti-musulmanes ou anti-soudanaises, et ses premières campagnes, intitulées #OpSweden et #OpDenmark, étaient présentées comme une riposte à cet événement.

La véritable identité du groupe a été débattue tout au long de sa période active, et les éléments pointaient dans plus d'une direction. Plusieurs signaux suggéraient un lien avec la Russie : il postait initialement en russe avant de passer à l'arabe, il a rejoint le cluster de hacktivistes pro-russes de Killnet, ses cibles s'alignaient fréquemment avec les intérêts du Kremlin plutôt qu'avec des causes soudanaises ou islamiques, et il disposait des ressources financières nécessaires pour louer une infrastructure d'attaque plutôt que de s'appuyer sur des bénévoles. Dans le même temps, les analystes ont été prudents et n'ont pas voulu exagérer ce lien. Comme l'a noté l'équipe de cyber threat intelligence de CYE, il n'existait pas de preuve formelle reliant directement le groupe à des entités étatiques russes, à la manière dont des groupes comme APT28 ou APT29 sont attribués.

L'acte d'accusation américain d'octobre 2024 a apporté l'élément le plus clair : il a nommé deux frères soudanais, Ahmed Salah Yousif Omer et Alaa Salah Yusuuf Omer, comme opérateurs. Les reportages sur l'affaire ont suggéré que l'alignement pro-russe du groupe était davantage motivé par une affinité idéologique et par la commercialisation de ses services payants aux côtés de la notoriété de Killnet que par un contrôle direct d'un État. Le nom lui-même, selon l'acte d'accusation, faisait référence au pays d'origine des frères. Anonymous Sudan n'a par ailleurs aucun lien avec l'ancien collectif Anonymous, qui a publiquement nié toute connexion.

Comment Anonymous Sudan opère

Les méthodes d'Anonymous Sudan se distinguaient par quelques traits constants plutôt que par des techniques inédites.

• Attaques DDoS multi-vecteurs. Selon l'analyse de NETSCOUT, le groupe combinait principalement des attaques directes TCP avec des vecteurs de réflexion et d'amplification UDP comme DNS et SSDP, et privilégiait les floods HTTP contre les infrastructures de serveurs web. Les attaques observées ont culminé à environ 284 Gbps et 57 Mpps.
• Infrastructure louée, pas un botnet. Plutôt qu'un botnet d'appareils infectés, le groupe utilisait des clusters de serveurs loués, capables de générer davantage de trafic par nœud. Le coût de cette infrastructure a lui-même été cité comme une raison de douter de la revendication hacktiviste de terrain.
• Menaces préalables et propagande. Le groupe annonçait systématiquement ses cibles à l'avance sur Telegram, publicisait les coupures en utilisant des outils de surveillance de disponibilité comme Down Detector, narguait les organisations touchées et synchronisait ses attaques avec les périodes de forte demande pour maximiser l'impact visible.
• DDoS-for-hire. Anonymous Sudan a construit et vendu son outil d'attaque comme un service, avec des tarifs et des coordonnées de contact, de sorte qu'une partie des attaques lancées avec son infrastructure étaient le fait de clients payants plutôt que du groupe lui-même.

L'outil d'attaque a été commercialisé sous plusieurs noms : DCAT (Distributed Cloud Attack Tool), Skynet, Godzilla et InfraShutdown. Selon la plainte américaine, plus de 100 utilisateurs ont mené leurs propres attaques à l'aide de cet outil.

Attaques notables

Sur environ dix-huit mois, Anonymous Sudan a revendiqué ou été associé à une longue liste de perturbations très médiatisées :

• Microsoft (juin 2023) : perturbation intermittente d'Outlook et d'autres services Office pendant près d'une semaine. Microsoft a attribué cette activité à Storm-1359.
• Cedars-Sinai Medical Center (Los Angeles) : une attaque DDoS a perturbé les services web et a contraint le service des urgences à rediriger les patients entrants pendant environ huit heures, constituant un élément central des charges criminelles ultérieures.
• Cibles gouvernementales et du secteur public, dont le gouvernement français et plusieurs agences fédérales américaines, ainsi que des campagnes contre la Suède, le Danemark, Israël, l'Australie et l'Inde.
• Cibles commerciales et d'infrastructure, dont SAS Airlines, Riot Games, des prestataires de paiement et des réseaux de télécommunications.

Un schéma récurrent : le groupe attaquait les cibles qu'il avait publiquement menacées, traitant l'indisponibilité visible comme une preuve d'impact et comme une publicité pour son service payant.

Le démantèlement par les autorités en 2024

En mars 2024, les autorités américaines ont obtenu des mandats judiciaires pour saisir les serveurs, l'infrastructure de commande et le code source de l'outil DDoS d'Anonymous Sudan, le neutralisant. En octobre 2024, un grand jury fédéral du district central de Californie a dévoilé un acte d'accusation contre les deux présumés opérateurs.

L'enquête a bénéficié d'une coopération étendue du secteur privé, avec notamment Akamai, Amazon Web Services, Cloudflare, CrowdStrike, Flashpoint, Google, Microsoft et PayPal parmi les entreprises ayant assisté les autorités américaines. Un acte d'accusation est une allégation ; les accusés sont présumés innocents jusqu'à preuve du contraire.

Comment se défendre contre des attaques de ce type

Le groupe ayant principalement utilisé des attaques DDoS volumétriques et applicatives, la défense suit les bonnes pratiques standard d'atténuation DDoS plutôt que des mesures spécifiques à cet acteur.

1. Utiliser une protection DDoS permanente. Un service dédié disposant d'une grande capacité de bande passante et d'une analyse continue du trafic peut absorber le trafic d'attaque avant qu'il n'atteigne la cible, en couvrant idéalement les couches 3, 7 et DNS.
2. Déployer un pare-feu d'application web (WAF). Un WAF filtre et bloque le trafic HTTP malveillant, ce qui est important compte tenu de la dépendance du groupe aux floods HTTP contre les serveurs web.
3. Appliquer une limitation de débit. Limiter le volume de requêtes qu'une source unique peut émettre aide à atténuer les floods applicatifs sans affecter les utilisateurs légitimes.
4. Se préparer aux campagnes annoncées à l'avance. Parce que les groupes hacktivistes menacent souvent leurs cibles à l'avance, surveiller les canaux de renseignement sur les menaces et disposer d'un runbook d'incident prêt permet aux équipes de renforcer leurs défenses avant qu'une attaque promise ne se matérialise.

Avis d'expert : traquez le comportement, pas la marque

L'histoire d'Anonymous Sudan est un rappel utile que le branding hacktiviste peut induire en erreur. Le groupe s'est enveloppé d'une identité soudanaise et à motivation religieuse tout en se comportant comme une opération commerciale de DDoS-for-hire alignée avec les intérêts pro-russes, et ses vrais opérateurs se sont révélés être deux individus plutôt qu'un collectif de terrain ou une unité étatique. Pour les défenseurs, traquer le label est moins productif que suivre le comportement observable : les vecteurs d'attaque, l'infrastructure et les schémas d'alerte préalable.

C'est ici qu'une approche pilotée par la CTI fait la différence. Sekoia est un éditeur européen de cybersécurité dont l'équipe interne Threat Detection & Research traque les acteurs de la menace hacktivistes et orientés DDoS. Ce renseignement alimente la plateforme de sorte que l'activité de groupes comme celui-ci peut être reconnue en contexte : une campagne annoncée sur un canal surveillé, une empreinte d'attaque connue, ou un pic de trafic multi-vecteurs, plutôt que traitée comme un bruit isolé. Combinée à une protection DDoS standard en bordure réseau, l'intelligence contextuelle sur les menaces aide les équipes à anticiper les campagnes pré-annoncées et à prioriser les cibles qu'un acteur donné est le plus susceptible de viser.