Hébergement bulletproof : cartographier le crime

Certains services criminels survivent parce que leur hébergeur répond lentement aux abus. Le bulletproof hosting (BPH) va plus loin : l’infrastructure est conçue, commercialisée ou revendue pour tolérer les clients malveillants et résister aux interruptions.

Pour le défenseur, la bonne question n’est pas « quel pays est risqué ? », mais « quels réseaux, locataires et fournisseurs favorisent durablement les mêmes abus, avec quel niveau de confiance ? ».

Le fonctionnement du bulletproof hosting

Les écosystèmes BPH peuvent combiner sociétés écrans, revendeurs, comptes volés, préfixes loués, nœuds fast flux et opérateurs amont. Ils hébergent kits de phishing, diffusion de malware, panneaux de botnet, spam, marchés d’identifiants et C2.

Une analyse technique de la CISA sur les infrastructures de phishing décrivait déjà des hébergements vendus comme résistants au démantèlement. Le modèle a évolué, mais persistance et traitement des abus restent observables.

Les signaux d’un cluster à haut risque

Abus répétés

Comptez les observations indépendantes et confirmées de phishing, malware, botnet, scan et spam. Pondérez davantage les sources diverses que les flux qui se recopient.

Concentration par préfixe et tenant

Une statistique à l’échelle de l’ASN masque souvent le détail. Comparez préfixes routés, plages opérationnelles, allocations client et reverse DNS. Un revendeur abusif ne doit pas automatiquement contaminer un grand opérateur amont.

Traitement des signalements

Suivez accusé de réception, correction et réapparition. Une absence systématique de réponse ou une réactivation rapide sous un tenant lié constitue une preuve plus forte qu’un ticket isolé.

Migration de l’infrastructure

Surveillez domaines, certificats, nameservers, empreintes de panels et annonces de routes. Les opérateurs remplacent l’espace IP mais conservent souvent outils et conventions.

Recoupements de contrôle

Coordonnées, identités de paiement, clés SSH, certificats ou panneaux communs peuvent relier des acteurs. Séparez toujours faits vérifiés et inférences.

Workflow d’investigation

Partez d’une IP ou d’un domaine confirmé. Utilisez la recherche IP inverse et l’historique DNS pour trouver les noms associés. Enrichissez chaque adresse avec réputation IP, ASN, préfixe et temporalité.

Construisez une chronologie :

1. première observation malveillante ;
2. domaines et certificats associés ;
3. signalements et réaction ;
4. migration de route ou d’hébergement ;
5. réapparition de la campagne.

Ne regroupez que lorsque plusieurs attributs indépendants concordent. Un CDN partagé est faible ; un certificat de panel, un ensemble DNS, un kit de page et un timing de migration réutilisés sont bien plus probants.

Transformer l’intelligence en contrôles

Appliquez des niveaux :

• blocage exact d’IP ou domaine actif et confirmé ;
• surveillance de préfixe lorsque la concentration est forte mais la multi-location réelle ;
• risque ASN comme attribut de scoring fraude, e-mail ou authentification ;
• blocages d’urgence temporaires avec expiration ;
• escalade fournisseur et revue d’achat si nécessaire.

Le terme « bulletproof » ne doit jamais devenir une étiquette opaque. Conservez preuve, confiance, périmètre et date. L’espace IP change de mains.

Démantèlement et partage

Préservez DNS, certificats, captures, en-têtes, hashes, timestamps et impact. Envoyez un rapport précis à l’hébergeur, à l’amont, au registrar et aux autorités compétentes. Coordonnez-vous dans des communautés de confiance.

Évitez l’attribution publique excessive. Confondre revendeur, opérateur amont et acteur criminel affaiblit une enquête pourtant solide.

Métriques

Suivez réapparition après blocage, délai de redécouverte après migration, densité malveillante par préfixe, délai de réponse et faux positifs des contrôles larges. Mesurez les nouveaux actifs de campagne révélés par chaque pivot.

Conclusion

Le bulletproof hosting est un écosystème de services résilients, pas un pays ni un ASN permanent. Cartographiez-le par abus répétés, réaction, concentration et relations historiques. Associez la threat intelligence centrée sur les ASN aux preuves actuelles pour perturber les campagnes sans culpabilité collective.