Le FBI démantèle Nightmare Stresser, l'une des plus anciennes plateformes de DDoS à la demande
Le service, actif depuis 2020, revendiquait près d'un million d'utilisateurs et proposait des attaques jusqu'à 200 Gbit/s
Photo : Taylor Vick / Unsplash
Le Federal Bureau of Investigation (FBI) a saisi le 18 septembre 2026 les domaines utilisés par Nightmare Stresser, l'une des plateformes de déni de service distribué (DDoS) les plus anciennes encore en activité. Les domaines nightmare-stresser[.]com et nightmarestresser[.]org affichent désormais une bannière de saisie des autorités américaines.
Les services de ce type, appelés « booters » ou « stressers », permettent à quiconque de louer de vastes réseaux de machines compromises (routeurs et objets connectés) pour lancer des attaques DDoS massives contre des plateformes en ligne. Avant sa fermeture, Nightmare Stresser se présentait lui-même comme le « meilleur outil de booting IP en ligne » et « le seul outil DDoS disponible 24h/24 ».
Quelle était l'ampleur du service ?
Selon un rapport de la société de cybersécurité Searchlight Cyber publié en 2023, Nightmare Stresser comptait alors plus de 566 000 utilisateurs enregistrés et disposait de 52 serveurs dédiés capables de lancer des attaques DDoS allant jusqu'à 200 Gbit/s, ciblant plusieurs couches réseau à la fois — notamment la couche 7 (protocoles applicatifs) et la couche 4 (protocoles TCP/UDP). Le service revendiquait, en 2026, près d'un million d'utilisateurs, proposait des sessions d'attaque de 30 minutes à 24 heures, pour des tarifs allant de 25 à 19 999 euros selon la puissance et la durée.
« Depuis 2022, le service de booting Nightmare Stresser a été utilisé pour lancer des centaines de milliers d'attaques DDoS réelles ou tentées, ciblant des victimes dans le monde entier », a indiqué la division cyber du FBI au moment de l'annonce.
Pourquoi une seconde saisie du même service ?
Le ministère américain de la Justice (DOJ) avait déjà saisi le domaine nightmarestresser[.]com en décembre 2022 et arrêté six suspects présumés propriétaires de plusieurs services de DDoS à la demande. Le service a cependant continué son activité sous d'autres noms de domaine dans les années suivantes — un schéma courant dans ce secteur : des études montrent qu'environ la moitié des services de « booting » démantelés ressaisissent une nouvelle adresse en moins de dix-neuf heures.
L'année précédente, les autorités polonaises avaient également arrêté quatre suspects liés à six plateformes de DDoS à la demande, responsables de milliers d'attaques ayant visé des écoles, des services publics, des entreprises et des plateformes de jeu vidéo dans le monde depuis 2022 ; les États-Unis avaient de leur côté saisi neuf domaines dans le cadre de cette même opération coordonnée.
Source
D'après les articles de BleepingComputer et de Clubic.
À lire ensuite
Un chercheur publie des exploits publics pour quatre failles du noyau Linux menant à un accès root local
Le chercheur en sécurité Asim Manizada a publié le 18 septembre 2026 des exploits fonctionnels pour quatre vulnérabilités distinctes du noyau Linux permettant, sous certaines conditions, d'obtenir un accès root local. Aucune attaque exploitant ces failles n'a été recensée dans la nature à ce jour, mais les correctifs figurent déjà dans les dernières versions stables du noyau.
Kelvyn2 min de lecture
Check Point corrige une faille critique permettant une exécution de code en root sur ses serveurs de gestion
Check Point Software a publié le 18 septembre 2026 des correctifs pour une faille critique notée 9,8 sur 10 sur l'échelle CVSS, permettant à un attaquant sans privilèges d'exécuter du code en tant que root sur ses serveurs de gestion de sécurité. L'entreprise n'a pour l'instant constaté aucune exploitation active, mais avait déjà corrigé deux autres failles critiques la semaine précédente.
Kelvyn3 min de lecture
Microsoft corrige une faille critique notée 10 sur 10 dans Azure AI Foundry
Microsoft a corrigé le 18 septembre 2026 une faille critique notée 10 sur 10 sur l'échelle CVSS dans Azure AI Foundry, sa plateforme d'entreprise pour construire et déployer des applications d'IA générative. Le défaut d'authentification, découvert par le chercheur Rémy Marot, a été entièrement corrigé côté serveur avant toute divulgation publique, sans nécessiter d'action de la part des clients.
Kelvyn2 min de lecture