Domain shadowing : détecter un DNS compromis

La plupart des guides de phishing se concentrent sur les domaines récemment enregistrés. Le domain shadowing suit le chemin inverse : un attaquant compromet le compte d’un domaine légitime et crée des sous-domaines malveillants sous ce parent de confiance.

L’âge et la réputation du parent peuvent alors contourner certains contrôles. Le défenseur doit scorer le hostname complet et son comportement récent, sans hériter aveuglément de la confiance du domaine enregistrable.

Comment fonctionne le domain shadowing

L’attaquant accède au registrar, au fournisseur DNS, au panneau d’hébergement ou à un compte délégué. Il ajoute de nombreux sous-domaines et les pointe vers des redirecteurs, pages de phishing, charges utiles ou infrastructures C2.

Ce comportement rejoint le concept MITRE ATT&CK d’infrastructure de domaine compromise. Les propriétés courantes sont :

• parent ancien mais sous-domaines très récents ;
• réponses DNS hors des fournisseurs habituels ;
• changements rapides ou TTL faibles ;
• émission de certificats non autorisée ;
• redirections en plusieurs étapes ;
• dizaines de hostnames frères créés en peu de temps.

Une compromission peut porter plusieurs campagnes. Traiter chaque sous-domaine comme un IOC isolé fait perdre le contexte.

Détection du point de vue du propriétaire

Activez une authentification résistante au phishing sur les comptes registrar et DNS. Limitez les jetons API, séparez les zones de production, journalisez chaque changement et alertez sur les nouveaux enregistrements, serveurs de noms et secrets.

Maintenez un inventaire reliant hostname, propriétaire, environnement et finalité. Comparez la zone réelle à l’infrastructure-as-code ou à une source de référence. Surveillez la Certificate Transparency.

Les alertes prioritaires incluent :

• nombreux enregistrements créés par une identité ;
• changement depuis un pays, ASN ou appareil nouveau ;
• réponse hors de l’infrastructure approuvée ;
• désactivation de DNSSEC, registry lock ou audit ;
• nouvelle clé API suivie d’un changement de zone.

Détection du point de vue du SOC

Une équipe qui observe du trafic externe ne possède pas forcément le parent. Elle doit évaluer le FQDN :

1. dater la première observation du sous-domaine ;
2. comparer IP et ASN à ses frères ;
3. consulter l’historique DNS ;
4. examiner certificats et redirections ;
5. rechercher des labels ou chemins similaires ;
6. corréler messagerie, proxy et endpoint.

Utilisez l’énumération des sous-domaines, l’historique DNS et le scanner d’URL. La réputation du parent reste un contexte, jamais une dispense d’analyse.

Construire un score

Les attributs utiles incluent âge du sous-domaine, vitesse de création des frères, forme lexicale, TTL, changement de fournisseur, timing du certificat, profondeur de redirection et ressemblance de page. Ajoutez la prévalence interne.

Évitez de surapprendre les labels aléatoires. Les plateformes marketing ou multi-tenant créent légitimement de nombreux sous-domaines. Une propriété vérifiée et un motif d’infrastructure stable réduisent le risque.

Réponse à incident

Considérez le compte DNS comme compromis jusqu’à preuve du contraire :

• révoquez sessions, mots de passe et jetons API ;
• imposez une MFA résistante au phishing ;
• retirez enregistrements et certificats non autorisés ;
• vérifiez nameservers, DS, contacts et récupération ;
• préservez les logs et trouvez l’accès initial ;
• surveillez toute recréation.

Coordonnez blocage et signalement, mais ne coupez pas le parent sans comprendre l’impact. Un blocage précis des hostnames peut protéger les utilisateurs pendant la réparation.

Métriques

Suivez sous-domaines sans propriétaire, délai entre création et alerte, changements non attribués, frères malveillants découverts et temps de sécurisation du compte. Mesurez aussi les cas où l’analyse du hostname complet inverse le verdict rassurant du parent.

Conclusion

Le domain shadowing exploite la confiance héritée. Combattez-le avec audit des changements, surveillance des certificats, réputation au niveau du hostname et analyse des frères. Associez threat intelligence contextuelle et sécurité rigoureuse des comptes DNS afin qu’un domaine ancien ne devienne pas silencieusement une nouvelle infrastructure d’attaque.