Le 28 mai 2026, les autorités néerlandaises ont annoncé le démantèlement d’un botnet colossal comprenant au moins 17 millions d’appareils infectés. Piloté depuis plus de 200 serveurs hébergés aux Pays-Bas, ce réseau de machines zombies était lié à Asocks, une plateforme de proxy résidentiel d’origine russe. Pour comprendre l’ampleur de cette affaire, il faut savoir ce qu’un botnet signifie concrètement : un réseau d’ordinateurs, smartphones, routeurs et objets connectés piratés à l’insu de leurs propriétaires, loués à des cybercriminels pour masquer leurs activités. Voici le récit d’une opération qui a mis hors d’état de nuire l’un des plus grands réseaux d’esclaves numériques jamais découverts.
17 millions d’appareils zombifiés : le jour où les Pays-Bas ont déconnecté Asocks
L’histoire commence par une simple alerte. Un chercheur en sécurité repère un trafic suspect émanant de centaines de serveurs situés aux Pays-Bas. Il prévient les autorités. Ce signalement déclenche une enquête conjointe entre la police néerlandaise et le National Cyber Security Center (NCSC). Les résultats donnent le vertige : 17 millions d’appareils compromis, répartis dans le monde entier, tous contrôlés à distance par un réseau de proxys résidentiels.
Le 28 mai 2026, une alerte de chercheur fait tomber 200 serveurs aux Pays-Bas
L’opération a été rapide et chirurgicale. Après avoir reçu le signalement, les enquêteurs ont localisé les 200 serveurs qui servaient de tour de contrôle au botnet. Ils étaient hébergés chez un fournisseur néerlandais. La police a saisi plusieurs serveurs pour analyse, mais c’est l’hébergeur lui-même qui a pris la décision de couper le réseau, constatant que son infrastructure servait à des activités criminelles. En quelques heures, le botnet s’est retrouvé orphelin de ses chefs d’orchestre.
Le NCSC a précisé que l’enquête avait révélé un système d’une sophistication rare. Les serveurs néerlandais n’étaient que la partie visible de l’iceberg : ils centralisaient les ordres et géraient la liste des adresses IP disponibles. Sans eux, les appareils infectés se sont retrouvés sans instructions, incapables de poursuivre leurs activités malveillantes. Mais les données récoltées sur ces serveurs ont permis de cartographier l’étendue réelle du réseau.
Asocks, le service russe qui louait 7 millions d’adresses IP sans que les propriétaires le sachent
Le nom qui revient dans toutes les enquêtes est Asocks. Cette société d’origine russe se présente comme un fournisseur de proxys résidentiels. Concrètement, elle propose à ses clients — environ 100 000 abonnés actifs — de louer des adresses IP légitimes pour 5 à 15 dollars par mois. Ces adresses proviennent d’appareils infectés à l’insu de leurs propriétaires.
Asocks revendiquait 7 millions d’adresses IP réparties dans 150 pays. Leur valeur ? Elles sont considérées comme « propres » par les systèmes de détection. Une adresse IP résidentielle, attribuée par un fournisseur d’accès à un particulier, ne figure pas sur les listes noires des sites web. Pour un cybercriminel, c’est le Graal : pouvoir agir sans éveiller les soupçons, en utilisant l’identité numérique d’un innocent.
Le business model est aussi simple que lucratif. Asocks infecte des appareils, récupère leur adresse IP, et la loue à des criminels qui ont besoin d’anonymat. Les propriétaires des appareils ne remarquent rien. Leur box continue de fonctionner, leur smartphone tient la charge, leur caméra filme toujours le salon. Pourtant, en arrière-plan, leur bande passante est vendue au plus offrant.
Pourquoi ce botnet surpasse Mirai ou Trickbot en ampleur et en discrétion
Les botnets historiques comme Mirai (2016, principalement des objets connectés) ou Trickbot (ciblant les entreprises via des rançongiciels) faisaient parler d’eux par les dégâts qu’ils causaient. Mirai avait mis hors ligne des géants comme Twitter ou Netflix. Trickbot avait paralysé des hôpitaux. Asocks, lui, n’a jamais cherché à faire du bruit.
L’originalité d’Asocks est d’avoir infecté des PC, des tablettes, des smartphones ET des objets connectés sans jamais déclencher d’alerte. Pas de ransomware qui crypte vos fichiers, pas de pop-up menaçant, pas de ralentissement assez brutal pour vous faire appeler votre FAI. Le malware se contente de rediriger une partie du trafic. Il ne vole pas vos photos, ne lit pas vos messages. Il utilise juste votre connexion.
Cette discrétion est sa force. Les 17 millions d’appareils ne sont pas tous actifs en même temps, comme le rappelle Solutions Numériques. Mais le chiffre donne une idée de l’infrastructure que les criminels avaient bâtie. À titre de comparaison, le botnet Mirai, à son apogée, comptait environ 600 000 appareils. Asocks le pulvérise par un facteur 30.
Box, caméra, smartphone : les portes d’entrée préférées du botnet Asocks
Comment un service russe parvient-il à recruter 17 millions d’appareils sans que personne ne s’en aperçoive ? La réponse tient en trois mots : négligence, obscurité, automatisation. Asocks a exploité des failles connues, des comportements utilisateurs prévisibles et une architecture technique qui rend l’infection invisible.
L’opération Proxylib : comment 190 000 smartphones Android ont été enrôlés en 2024 via Google Play
En 2024, la société de cybersécurité HUMAN Security a mis au jour un dispositif inquiétant. Vingt-huit applications Android présentes sur le Google Play Store téléchargeaient à l’insu des utilisateurs un malware baptisé Proxylib. Ce logiciel transformait le smartphone en proxy résidentiel, le connectant au réseau Asocks sans aucune notification.
Les preuves étaient accablantes. En interrogeant l’interface de gestion des proxys d’Asocks, les chercheurs ont découvert que les adresses IP des téléphones infectés par Proxylib figuraient dans la liste des adresses louées. Près de 190 000 appareils Android avaient ainsi été enrôlés via le store officiel de Google. La leçon est claire : même une application téléchargée depuis une source légitime peut cacher un code malveillant.
Les applications incriminées n’avaient rien de suspect. Il s’agissait de jeux, de fonds d’écran, d’outils de productivité. Rien qui n’éveille les soupçons d’un utilisateur lambda. Le code Proxylib était dissimulé dans des bibliothèques tierces, rendant la détection quasi impossible pour un antivirus classique.
Le routeur domestique et la caméra connectée, esclaves parfaits du réseau zombie
Si les smartphones représentent une porte d’entrée, les objets connectés en sont la voie royale. Routeurs, caméras IP, box internet, assistants vocaux : ces appareils cumulent les faiblesses. Leurs mots de passe d’usine sont rarement modifiés. Leurs firmwares ne sont jamais mis à jour. Leurs interfaces d’administration restent exposées sur le réseau local, parfois même accessibles depuis l’extérieur.
Un routeur non sécurisé est une passoire. Une fois infecté, il peut rediriger tout le trafic du foyer vers les serveurs d’Asocks sans que l’utilisateur ne remarque rien. La caméra connectée, elle, offre une connexion permanente, idéale pour un proxy qui doit rester joignable 24h/24.
L’utilisateur ignore totalement que son équipement travaille pour un botnet. Il voit sa caméra fonctionner normalement, son routeur afficher des voyants verts. Rien ne cloche. Pourtant, son appareil est devenu un esclave numérique, loué à des criminels pour quelques centimes par jour.
Le malware fantôme : comment le botnet recrute sans installer de logiciel visible
Le secret d’Asocks réside dans son approche minimaliste. Le malware n’a pas besoin de créer des fichiers suspects, de modifier des registres ou de crypter des données. Il lui suffit d’ouvrir un port réseau et d’attendre les instructions du serveur central.
Le fonctionnement est simple. Une fois l’appareil infecté, le malware établit une connexion sortante vers l’un des serveurs de commande. Il reçoit alors une liste d’instructions : rediriger le trafic de tel client vers telle destination. Le tout sans jamais rien stocker sur le disque dur. Pour un antivirus standard, c’est invisible.
Cette technique, appelée « proxy résidentiel », repose sur le principe que le trafic semble provenir d’un véritable internaute. Les sites web visités voient une adresse IP de Free, Orange, Comcast ou BT. Ils ne peuvent pas faire la différence entre un humain et un robot. Le malware d’Asocks est un fantôme qui utilise votre connexion sans laisser de trace.
PC fantôme, connexion qui rame : les 3 signes qu’un logiciel espion vous utilise en secret
Vous pensez que votre ordinateur ou votre box est sain ? Peut-être pas. Les botnets modernes sont conçus pour être indétectables, mais ils laissent parfois des indices. Voici les signes qui doivent vous alerter.
Ventilo qui s’affole, box qui ralentit : le check-up express d’un appareil infecté
Le premier symptôme est physique. Votre PC chauffe anormalement. Le ventilateur tourne à plein régime alors que vous ne faites rien de particulier. Votre connexion Internet devient soudainement plus lente, surtout en soirée quand le trafic criminel est le plus actif. Les redémarrages prennent plus de temps que d’habitude.
Ces signes ne sont pas une preuve absolue d’infection. Un PC qui chauffe peut simplement avoir besoin d’un dépoussiérage. Une connexion lente peut être due à votre FAI. Mais si plusieurs symptômes apparaissent en même temps, il est temps de creuser.
Un test simple : ouvrez le gestionnaire de tâches (Ctrl+Alt+Suppr sous Windows) et regardez l’utilisation du processeur et du réseau. Si l’un des deux est constamment élevé sans raison apparente, votre appareil travaille peut-être pour quelqu’un d’autre.
Le test des spams : est-ce que quelqu’un se fait passer pour vous sur les réseaux ?
Le deuxième signe est indirect mais tout aussi inquiétant. Vos amis reçoivent des messages étranges de votre part sur les réseaux sociaux. Des spams, des liens suspects, des demandes d’argent. Votre adresse email est utilisée pour envoyer des courriers indésirables.
Cela signifie que votre compte a probablement été compromis. Les botnets comme Asocks ne se contentent pas de louer votre bande passante : ils peuvent aussi voler vos identifiants de connexion, vos cookies de session, vos données de navigation.
Pour vérifier, allez dans les paramètres de sécurité de vos comptes Google, Facebook, Instagram. Regardez la liste des sessions actives. Si vous voyez une connexion depuis un pays que vous n’avez jamais visité, à une heure où vous dormiez, quelqu’un utilise votre identité numérique. Coupez immédiatement ces sessions et changez vos mots de passe.
Le business juteux du proxy résidentiel : qui paie pour ce réseau de 17 millions d’esclaves ?
Derrière le démantèlement d’Asocks se cache une industrie criminelle parfaitement organisée. Pour comprendre l’ampleur du phénomène, il faut suivre l’argent. Qui paie, qui bénéficie, et à quel prix ?
Le prix de l’anonymat criminel : de 5 à 15 dollars par mois pour louer un botnet
Les tarifs d’Asocks sont dérisoires. Pour 5 à 15 dollars par mois, un cybercriminel peut louer l’accès à des milliers d’adresses IP résidentielles. Avec 100 000 clients actifs, le chiffre d’affaires potentiel du service se chiffre en millions de dollars par an.
Ce modèle économique est celui d’un SaaS criminel : pas de frais fixes, pas d’infrastructure à gérer, pas de risque de se faire prendre. Les clients paient un abonnement, reçoivent une liste d’IP, et les utilisent pour leurs activités illégales. Asocks s’occupe de tout le reste : infection des appareils, maintenance du réseau, rotation des adresses.
Le coût pour les victimes est tout aussi réel, mais invisible. Votre bande passante est consommée, votre appareil s’use prématurément, votre adresse IP est blacklistée par certains sites. Et vous ne recevez aucun dédommagement.
Fraude, DDoS, contournement géographique : à quoi vos appareils servent-ils vraiment ?
Les usages des proxys résidentiels sont nombreux et tous illégaux. Le credential stuffing — la tentative de connexion massive sur des sites web avec des identifiants volés — est l’un des plus courants. Les criminels testent des millions de combinaisons login/mot de passe en utilisant des IP différentes pour ne pas être bloqués.
La click fraud est un autre débouché lucratif. En cliquant automatiquement sur des publicités depuis des adresses IP résidentielles, les fraudeurs génèrent des revenus publicitaires illégitimes. Les annonceurs paient pour des clics qui ne viennent pas de vrais utilisateurs.
Le SMS pumping, moins connu, consiste à utiliser des appareils infectés pour envoyer des SMS vers des numéros surtaxés. Chaque message rapporte quelques centimes aux criminels, mais la facture est payée par la victime.
Les adresses IP résidentielles sont une denrée rare parce qu’elles ne sont pas blacklistées. Les IP de datacenters sont facilement repérées et bloquées par les sites web. Mais une IP de Free ou Orange ? Elle passe partout.
Asocks et Polocom : deux plateformes qui industrialisent le crime en ligne
Asocks n’est pas un cas isolé. Récemment, le démantèlement de Polocom, un marché illégal comparé à un « Amazon du crime », a montré la même logique : des plateformes qui fournissent des outils à des criminels moyennant abonnement.
Dans les deux cas, le modèle est le même. Asocks vend des proxys, Polocom vendait des biens volés et des services criminels. Les deux fonctionnent comme des entreprises, avec des catalogues, des tarifs, un service client. La professionnalisation du cybercrime, évoquée dès 2020 par Le Monde, est aujourd’hui une réalité. Les petits pirates isolés ont laissé place à des organisations structurées, avec des chaînes logistiques, des départements marketing et des équipes techniques.
Les 5 réflexes à adopter dès ce soir pour éviter de devenir la prochaine victime
Le démantèlement d’Asocks est une victoire, mais elle ne vous protège pas. Le code du malware existe toujours, d’autres plateformes prendront le relais. Voici les gestes simples qui réduiront drastiquement vos risques d’infection.
Changez les mots de passe de votre box et de vos caméras : le geste qui tue le botnet à la racine
Le premier réflexe, le plus important, est de changer les mots de passe par défaut de votre équipement réseau. Connectez-vous à l’interface d’administration de votre box (généralement accessible via 192.168.1.1 ou 192.168.0.1). Si le mot de passe est encore « admin » ou « 1234 », vous êtes une cible prioritaire.
Créez un mot de passe unique et fort, d’au moins 12 caractères, avec des lettres majuscules et minuscules, des chiffres et des symboles. Ne le réutilisez jamais ailleurs. Faites de même pour vos caméras connectées, vos enceintes intelligentes, vos prises connectées.
Le routeur est la porte d’entrée numéro 1 des botnets modernes. Un mot de passe fort le verrouille efficacement.
Activez les mises à jour automatiques : pourquoi c’est non-négociable en 2026
La plupart des infections exploitent des failles de sécurité connues depuis des mois, parfois des années. Les fabricants publient des correctifs, mais personne ne les installe. Les mises à jour automatiques sont la solution la plus simple et la plus efficace.
Activez-les sur votre box (vérifiez dans les paramètres), sur votre PC, sur votre smartphone, sur tous vos objets connectés. Si un appareil ne propose pas de mise à jour automatique, remplacez-le. En 2026, un équipement non mis à jour est un danger public numérique.
Supprimez les applications zombies et surveillez les autorisations
L’affaire Proxylib a montré que même des applications du Google Play Store peuvent cacher un malware. La règle est simple : si vous n’utilisez pas une application, supprimez-la. Ne laissez pas traîner des jeux oubliés, des outils téléchargés pour un usage unique, des fonds d’écran animés.
Vérifiez les autorisations de chaque application. Une lampe torche n’a pas besoin d’accès à votre réseau. Un jeu de puzzle n’a pas besoin de lire vos contacts. Si une application demande des permissions excessives, désinstallez-la.
Surveillez aussi l’utilisation de la batterie et des données. Si une application que vous n’utilisez pas consomme beaucoup de ressources, elle cache probablement quelque chose.
Conclusion — Démantèlement du botnet : une victoire, mais la menace renaît déjà
Le démantèlement du botnet Asocks est une opération remarquable. Les autorités néerlandaises, appuyées par le NCSC, ont réussi à couper les 200 serveurs qui centralisaient le réseau, mettant hors d’état de nuire 17 millions d’appareils infectés. C’est l’une des plus grandes opérations de ce type jamais réalisées.
Mais cette victoire est temporaire. Le site d’Asocks a été mis hors ligne, mais le code source du malware, le business model, les méthodes d’infection survivent. D’autres plateformes, peut-être déjà actives, prendront le relais. La véritable protection repose sur la vigilance individuelle et les gestes simples que nous venons de détailler.
Vérifiez votre routeur ce soir. Changez son mot de passe. Activez ses mises à jour automatiques. Supprimez les applications inutiles de votre smartphone. Ces gestes, qui prennent moins de 30 minutes, vous protègent bien mieux que n’importe quel antivirus. Car le meilleur pare-feu, c’est vous.
