Le FBI vient de saisir les principaux domaines de Nightmare Stresser, l’un des plus anciens services de DDoS à la demande encore en activité. Depuis 2022, la plateforme aurait servi à lancer plusieurs centaines de milliers d’attaques dans le monde.
Faire tomber un site ou saturer un serveur sans disposer soi-même d’un botnet ni d’un doctorat en piratage, voilà tout le principe des services de DDoS à la demande. Nightmare Stresser en avait fait son fonds de commerce depuis des années et revendiquait encore près d’un million d’utilisateurs il y a quelques jours. C’en est désormais fini, au moins temporairement : le FBI vient de confirmer la saisie de deux de ses domaines, en coordination avec la Gendarmerie royale du Canada, dans le cadre de l’opération PowerOFF.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Des attaques DDoS accessibles contre quelques dizaines d’euros
Actif depuis au moins 2020, Nightmare Stresser appartenait à la famille des booters ou stressers, des plateformes qui louent des capacités d’attaque DDoS prêtes à l’emploi en les présentant comme des outils destinés à éprouver la résistance de sa propre infrastructure.
Nightmare Stresser affichait pourtant un catalogue sans grande ambiguïté : attaques en couches 4 et 7, capables de saturer aussi bien les connexions réseau que les applications web elles-mêmes, techniques d’amplification pour décupler le volume de trafic envoyé vers une cible, mais aussi méthodes de contournement de pare-feu, de CAPTCHA, de limitations de débit ou encore de restrictions géographiques. Bref, du stress test de compétition.
Le service avait déjà attiré l’attention de Searchlight Cyber en 2023, qui recensait alors plus de 566 000 comptes enregistrés, 52 serveurs et 28 méthodes d’attaque. Les formules s’échelonnaient de 25 à 19 999 euros, pour des sessions pouvant durer de 30 minutes à 24 heures et jusqu’à 400 offensives lancées en parallèle. Nightmare Stresser revendiquait aussi une puissance maximale de 200 Gbit/s, un volume capable de saturer de nombreuses infrastructures dépourvues de protections DDoS adaptées.
Trois ans plus tard, Nightmare Stresser affichait des ambitions encore plus élevées. Dans une copie de son site archivée au printemps 2026, le service revendiquait près d’un million d’utilisateurs et plus de huit années d’activité, se présentait comme le plus ancien et le plus puissant du marché, assurait fonctionner sans interruption et insistait lourdement sur l’anonymat. Ses opérateurs affirmaient automatiquement supprimer ses journaux toutes les 24 heures grâce à un système censé empêcher de remonter jusqu’aux utilisateurs, allant jusqu’à prétendre qu’aucun client n’avait jamais été identifié.
Nightmare Stresser avait déjà croisé la route du FBI
Invérifiable, évidemment, mais pas forcément faux. En décembre 2022, Nightmare Stresser avait déjà été pris dans une vaste opération du FBI menée contre les services de DDoS à la demande. L’un de ses domaines figurait parmi les 48 adresses saisies ce jour-là et six personnes avaient été inculpées aux États-Unis pour avoir administré plusieurs plateformes du même genre. Aucune n’était toutefois associée à Nightmare Stresser, qui allait poursuivre ses activités sous d’autres adresses.
Car c’est là toute la difficulté de ce type de démantèlement : la saisie d’un domaine ne condamne pas nécessairement l’infrastructure ni celles et ceux qui l’exploitent. Une équipe de chercheurs britanniques et américains ayant étudié les effets de l’opération a ainsi constaté que plus de 50 % des booters saisis en décembre 2022 avaient fini par refaire surface, pour moitié en moins de 19 heures. Quelques mois plus tard, le FBI remettait le grappin sur 13 domaines, dont dix appartenaient à des services déjà frappés lors de la précédente vague. Au prochain coup de filet, Nightmare Stresser pourrait bien, une fois encore, être de la partie.
