Contexte juridique
Le 17 septembre 2026, le ministère de la Justice des États‑Unis (DoJ), avec le FBI Anchorage Field Office et la Royal Canadian Mounted Police, a exécuté un mandat de saisie (18 U.S.C. §§ 981‑982, 1030(i) et 21 U.S.C. § 853) contre les domaines nightmare‑stresser.com et nightmarestresser.org. La saisie s’inscrit dans le cadre de l’opération PowerOFF, une campagne internationale visant à démanteler les infrastructures de services DDoS‑for‑hire. Ce n’est pas la première intervention : en décembre 2022, le même domaine nightmarestresser.com faisait partie de 48 sites saisis, et en avril 2026, 53 domaines supplémentaires ont été bloqués, entraînant l’arrestation de quatre opérateurs. Au total, douze accusés ont été inculpés et plus de cent domaines liés à des booter ont été confisqués.
This domain has been seized by the Federal Bureau of Investigation in accordance with a seizure warrant pursuant to 18 U.S.C. §§ 981(a)(1)(A) and (b), 982(b)(1), and 1030(i)(1)(A); and 21 U.S.C. § 853 issued by the United States District Court for the District of Alaska.Fonctionnement du service DDoS‑for‑hire
Selon un rapport de Searchlight Cyber (fin 2023), NightmareStresser comptait plus de 566 000 comptes enregistrés et exploitait 52 serveurs. Le service proposait un tableau de bord où l’utilisateur pouvait spécifier l’adresse IP ou l’URL cible, le port, ainsi que le nombre d’attaques simultanées. Les paiements s’effectuaient en cryptomonnaie, et un système de parrainage attribuait des crédits à chaque inscription générée par un lien de référence, même si l’achat était différé. Le site affichait également un bouton « Stop All » permettant d’interrompre instantanément tous les flux d’attaque en cours, que ce soit au niveau Layer 4 (UDP/TCP) ou Layer 7 (HTTP).
Analyse technique des attaques
NightmareStresser proposait des méthodes d’amplification de Layer 4, typiquement basées sur des protocoles UDP vulnérables (DNS, NTP, Memcached). En envoyant de petites requêtes à des serveurs non protégés, le service générait des réponses volumineuses dirigées vers la cible, multipliant ainsi le trafic entrant de plusieurs ordres de grandeur. Au niveau Layer 7, la plateforme revendiquait la capacité de contourner les CAPTCHAs, les géoblocages et les limites de débit grâce à des requêtes HTTP personnalisées, rendant les filtres de type rate‑limit inefficaces. La combinaison de ces techniques permettait de saturer la bande passante d’une cible, de dégrader les services d’accès Internet et, dans certains cas, de provoquer une interruption totale de la connexion.
Conséquences et limites de l’opération
La saisie des deux domaines a immédiatement désactivé l’interface publique du service, privant les opérateurs d’un point d’accès de commande et de facturation. Cependant, les serveurs d’attaque eux‑mêmes, hébergés chez le fournisseur BlazingFast, restent techniquement accessibles tant qu’ils ne sont pas eux aussi ciblés par des mesures de blocage. L’opération montre la capacité des autorités à interrompre les infrastructures de booter via des mandats de saisie de noms de domaine, mais souligne aussi la résilience du modèle : les acteurs peuvent rapidement migrer vers de nouveaux domaines ou vers des services d’hébergement anonymes. Le nombre croissant de saisies (plus de 100 depuis 2022) indique une pression soutenue, mais la persistance du marché DDoS‑for‑hire dépendra de la capacité des forces de l’ordre à suivre les changements de l’infrastructure et à démanteler les réseaux de paiement en cryptomonnaie.
