La saisie de domaines par le FBI met hors ligne la vitrine DDoS à la demande de NightmareStresser

Le FBI a saisi deux domaines utilisés par NightmareStresser, une plateforme commerciale de déni de service distribué accusée d’avoir facilité des centaines de milliers d’attaques dans le monde. Cette opération s’inscrit dans le cadre de l’opération PowerOFF, une campagne internationale visant les services qui vendent à des clients payants des capacités d’attaque perturbatrices.

L’interruption a été signalée le 18 septembre 2026. La date exacte à laquelle les domaines ont été saisis n’a pas été communiquée.

Les domaines nightmare-stresser[.]com et nightmarestresser[.]org affichent désormais un avis officiel de saisie. Cette intervention retire du fonctionnement normal les sites publics identifiés de NightmareStresser, mais elle ne permet pas d’affirmer que tous les serveurs backend, les enregistrements de paiement, les comptes clients ou les systèmes d’attaque ont été neutralisés.

Une plateforme payante conçue pour industrialiser les attaques DDoS

NightmareStresser fonctionnait comme un « booter » ou un « stresser », des termes couramment utilisés pour désigner les services permettant à leurs clients d’acheter des attaques par déni de service distribué. Les outils de test de résistance peuvent avoir des usages légitimes lorsqu’ils sont utilisés avec une autorisation, mais les plateformes commerciales de type booter permettent à leurs clients de diriger du trafic contre des systèmes tiers.

Ce modèle abaisse le seuil d’accès à la cybercriminalité perturbatrice. Les utilisateurs n’ont pas besoin de constituer un botnet, de développer un logiciel d’attaque ou de gérer eux-mêmes une infrastructure distribuée. Ils peuvent simplement acheter une capacité d’attaque et indiquer une cible via l’interface du service.

NightmareStresser acceptait les paiements en cryptomonnaies, ce qui permettait à ses clients d’éviter les circuits de paiement traditionnels. Les informations disponibles ne précisent pas quelles cryptomonnaies étaient prises en charge, ni la structure tarifaire, les niveaux d’abonnement ou les adresses de paiement.

Les autorités affirment que la plateforme a été utilisée pour mener des centaines de milliers d’attaques contre des victimes dans le monde entier. En 2025, elle aurait compté près d’un million d’utilisateurs et aurait pu générer entre 3 000 et 4 000 attaques par heure.

Ces chiffres décrivent l’ampleur de la plateforme, pas les caractéristiques de chaque incident. Aucun détail n’a été communiqué sur la durée des attaques, la bande passante mobilisée, les débits de paquets, les techniques d’amplification ou les méthodes visant la couche applicative.

Des années de croissance avant la mise hors ligne

Les autorités indiquent que NightmareStresser était actif depuis au moins 2022. Le chercheur en sécurité Alex Carter a présenté l’année dernière un historique plus ancien, estimant que le service avait probablement été créé en 2016.

Selon le récit de Carter, NightmareStresser a gagné en popularité en 2018 après la perturbation de services concurrents. Il est ensuite devenu le plus important outil DDoS en 2019.

Cette trajectoire illustre un problème récurrent des opérations de démantèlement : la demande peut se reporter d’une plateforme perturbée vers des concurrentes encore actives. Les opérateurs peuvent également tenter de reconstruire leur activité sous de nouveaux noms, domaines ou moyens d’administration.

NightmareStresser aurait empêché ses clients de cibler des domaines gouvernementaux, éducatifs et hospitaliers. On ignore comment ces exclusions étaient mises en œuvre — par des listes de blocage de domaines ou par un autre mécanisme de contrôle — et avec quelle régularité elles étaient appliquées. Ces restrictions ne rendaient pas légales les attaques contre d’autres organisations.

L’opération PowerOFF vise les opérateurs et les clients

L’opération de répression visant NightmareStresser a été menée dans le cadre de l’opération PowerOFF, qui coordonne des enquêtes internationales sur les plateformes de DDoS à la demande et les personnes qui les exploitent.

Le FBI a pris le contrôle des deux domaines identifiés, tandis que le ministère américain de la Justice a annoncé l’interruption du service. Aucune arrestation, inculpation ou identité de suspect liée spécifiquement à NightmareStresser n’a été communiquée.

Les enquêteurs ne limitent pas leurs recherches aux administrateurs du service. L’opération PowerOFF vise également les clients et les autres utilisateurs qui commandent ou exécutent des attaques au moyen de plateformes de type booter. Le fait d’acheter un accès ne met pas un client à l’abri d’une enquête, même si une autre personne gère l’infrastructure sous-jacente.

La campagne plus large a déjà donné lieu à plusieurs opérations de répression :

• Au cours des huit dernières années, les autorités américaines ont inculpé 12 personnes accusées d’avoir facilité des attaques DDoS.
• Plus de 100 domaines associés à des services de type booter ont été saisis par les autorités américaines.
• En avril, des agences de 21 pays ont neutralisé 53 domaines liés à des opérations de DDoS à la demande.
• Vingt-sept sites web liés à des booters ont été saisis en 2024.
• Les États-Unis ont neutralisé le botnet DDoS RapperBot l’année dernière.

Ces opérations associent la saisie d’infrastructures à des enquêtes et des poursuites. Toutefois, le retrait de plateformes individuelles n’a pas fait disparaître le marché dans son ensemble.

Le contrôle des domaines ne prouve pas la disparition du réseau d’attaque

La saisie d’un domaine peut immédiatement perturber l’accès des clients, les nouvelles inscriptions et l’administration via le web. Elle peut également offrir aux enquêteurs la possibilité de recueillir des éléments de preuve, selon les systèmes et les données placés sous leur contrôle.

Son effet reste toutefois limité. Les informations publiques ne permettent pas de confirmer si les forces de l’ordre ont obtenu les serveurs backend de NightmareStresser, son code source, ses portefeuilles de cryptomonnaies, sa base de données d’abonnés ou son infrastructure d’attaque. On ignore également si les opérateurs avaient conservé d’autres domaines ou canaux de communication.

Par conséquent, la bannière de saisie ne doit pas être interprétée comme la preuve que toute activité liée à NightmareStresser a cessé. Les opérateurs pourraient tenter de rétablir le service ailleurs, tandis que les clients existants pourraient se tourner vers un autre fournisseur.

Aucune adresse IP, aucun hash de malware, aucun identifiant de compte, aucune adresse de paiement ni signature réseau n’ont été publiés. Il n’existe donc aucun indicateur technique précis permettant aux défenseurs d’attribuer de manière concluante un trafic à NightmareStresser.

Les deux domaines saisis peuvent néanmoins être utiles lors de l’examen des données historiques DNS, des journaux de proxy et des enregistrements de messagerie. Une correspondance montrerait une forme d’interaction, mais ne prouverait pas à elle seule qu’un utilisateur a acheté ou lancé une attaque.

Des dommages qui touchent principalement la disponibilité

NightmareStresser représente une menace pour la disponibilité, et non une campagne déclarée de vol de données ou de compromission de terminaux. Son objectif était de diriger suffisamment de trafic malveillant vers une cible pour dégrader ou empêcher l’accès à des services en ligne.

Parmi les conséquences possibles figurent les interruptions de sites web et d’API, l’instabilité des applications destinées aux clients, l’augmentation des coûts de bande passante ou d’atténuation, ainsi qu’une pression accrue sur les infrastructures et les équipes de réponse aux incidents. Les organisations dépendantes des transactions en ligne peuvent également subir des perturbations opérationnelles et financières tant que l’attaque reste active.

Aucune organisation victime en particulier n’a été identifiée. On ignore également si certains incidents ont provoqué des interruptions prolongées ou si les cibles ont subi d’autres événements de sécurité.

Aucune vulnérabilité logicielle n’est associée à cette affaire. Aucun identifiant CVE, aucune version de produit concernée ni aucun correctif ne sont impliqués, et cette opération n’est pas liée au catalogue Known Exploited Vulnerabilities de la CISA.

Ce que les défenseurs doivent faire après l’interruption

Les organisations devraient profiter de cette opération pour examiner leurs incidents passés et leur préparation actuelle face aux attaques DDoS. L’absence d’indicateurs techniques publics rend particulièrement importante l’analyse des comportements et des infrastructures.

Les équipes de défense peuvent prendre plusieurs mesures concrètes :

• Examiner les données historiques de télémétrie réseau, DNS, applicative et des fournisseurs afin d’identifier des contacts avec nightmare-stresser[.]com ou nightmarestresser[.]org.
• Conserver les journaux liés aux incidents DDoS inexpliqués, au cas où les forces de l’ordre ou les fournisseurs de services publieraient ultérieurement d’autres indicateurs.
• Vérifier les procédures d’escalade avec les hébergeurs, les fournisseurs d’accès à internet, les réseaux de diffusion de contenu et les prestataires d’atténuation des DDoS.
• Tester les limites de débit, les filtres de trafic, les mécanismes de basculement et les plans de continuité d’activité dans des conditions de charge réalistes.
• Surveiller les domaines récemment enregistrés et les autres canaux afin de détecter tout signe crédible d’un retour de NightmareStresser sous une infrastructure différente.
• Signaler aux autorités et aux fournisseurs compétents les activités présumées de booter ainsi que les tentatives d’extorsion ou de perturbation associées.

L’attribution doit rester prudente. Des schémas de trafic similaires peuvent être générés par de nombreux services DDoS, botnets et attaquants indépendants.

Les saisies ont retiré du web les propriétés connues de NightmareStresser et interrompu une opération disposant, selon les informations disponibles, d’une importante base de clients. Le caractère définitif de cette interruption dépendra de l’infrastructure et des éléments de preuve que les enquêteurs ont pu obtenir au-delà des deux domaines.