Recherche de domaine pour la détection du phishing et des infrastructures C2

Toute attaque de phishing réussie et tout malware qui communique avec ses opérateurs partagent une dépendance commune : les noms de domaine. Les sites de phishing ont besoin de domaines suffisamment convaincants pour tromper les victimes. Les malwares ont besoin de domaines — ou parfois d'adresses IP — pour recevoir leurs commandes et exfiltrer des données. Cette dépendance est à la fois la nécessité de l'attaquant et l'opportunité du défenseur.

La recherche de domaine appliquée à la détection du phishing et des infrastructures de commande et contrôle (C2) est une discipline de threat hunting et de prévention centrée sur l'identification des domaines malveillants avant qu'ils ne puissent être employés contre votre organisation. En comprenant comment les attaquants construisent et exploitent leurs infrastructures de domaines, les équipes sécurité peuvent détecter les menaces à la couche infrastructure plutôt que d'attendre des indicateurs comportementaux qui n'apparaissent qu'après la compromission.

Comment les attaquants construisent leur infrastructure de domaines de phishing

Comprendre le mode opératoire de l'attaquant est un prérequis pour détecter son infrastructure. Les opérations de phishing modernes sont des chaînes d'approvisionnement sophistiquées, composées d'éléments spécialisés.

L'enregistrement de domaines à grande échelle

Les groupes de phishing aguerris opèrent à l'échelle industrielle. Ils enregistrent des dizaines voire des centaines de domaines par campagne, à l'aide de scripts automatisés et d'un vivier tournant de comptes chez des bureaux d'enregistrement, afin de contourner les contrôles au niveau de l'enregistrement. Chaque domaine ne sert que sur une courte fenêtre — souvent quelques heures à quelques jours — avant d'être abandonné et remplacé. Cette stratégie de « brûler et faire tourner » est spécifiquement conçue pour épuiser les processus manuels de mise en blocklist.

Les défenseurs qui s'appuient uniquement sur des blocklists réactives sont perpétuellement en retard. L'attaquant est déjà passé au domaine suivant lorsque le précédent est enfin bloqué.

Le cycle de vie d'un domaine de phishing

Un domaine de phishing typique traverse des étapes prévisibles :

1. Enregistrement : le domaine est enregistré, souvent avec une protection de la vie privée, auprès d'un bureau d'enregistrement aux politiques d'abus laxistes.
2. Mise en place de l'infrastructure : les enregistrements DNS sont configurés, l'hébergement est provisionné sur un serveur bulletproof ou compromis, et des certificats SSL sont obtenus auprès d'émetteurs automatisés.
3. Déploiement du contenu : le contenu du kit de phishing — pages de connexion clonées, faux portails de facturation, pages de marque usurpées — est déployé.
4. Lancement de la campagne : le domaine est intégré à des e-mails de phishing, des SMS ou des publications sur les réseaux sociaux, puis envoyé aux cibles.
5. Brûler et remplacer : une fois le domaine signalé et bloqué, l'opération bascule sur le domaine préparé suivant.

Chacune de ces étapes laisse des signaux observables que le renseignement issu de la recherche de domaine peut détecter.

L'infrastructure des domaines de commande et contrôle

L'infrastructure C2 des malwares fonctionne différemment des sites de phishing, mais elle offre des opportunités de détection comparables.

Les algorithmes de génération de domaines (DGA)

Les familles de malwares évoluées utilisent des algorithmes de génération de domaines (Domain Generation Algorithms) pour produire par calcul des centaines ou des milliers de domaines C2 potentiels. Seul l'attaquant sait lesquels de ces domaines seront réellement enregistrés et opérationnels un jour donné. Il devient alors impossible de mettre préventivement en blocklist toutes les destinations C2 envisageables, tandis que le malware trouve toujours un point de contact fonctionnel.

Les chercheurs en sécurité ont rétro-conçu les DGA de nombreuses familles de malwares et savent prédire les domaines qu'une variante donnée tentera de contacter. Ce renseignement permet de bloquer proactivement les domaines DGA au niveau DNS, avant même que le malware n'atteigne l'organisation.

Le DNS fast flux

Le fast flux est une technique où les enregistrements DNS d'un domaine tournent sur des dizaines voire des centaines d'adresses IP, avec des TTL (durées de vie) très courts. Il devient difficile de bloquer l'infrastructure C2 par adresse IP, puisque l'IP de résolution change toutes les quelques minutes. Les outils de recherche de domaine qui suivent l'historique de résolution DNS et signalent les domaines au comportement fast flux offrent une capacité de détection hors de portée d'un simple blocage par IP.

L'analyse du DNS passif

Le DNS passif capture l'historique des adresses IP vers lesquelles chaque domaine a résolu au fil du temps. Ces données révèlent :

• À quel moment un domaine C2 est apparu pour la première fois en résolution DNS
• Vers quelles IP il a résolu historiquement (ce qui met au jour des grappes d'infrastructure)
• Combien de domaines partagent les mêmes adresses IP (signe d'une infrastructure d'hébergement mutualisée)
• Des schémas de résolution correspondant à des comportements de communication de malwares connus

Détecter les infrastructures de phishing par la recherche de domaine

L'analyse des schémas d'enregistrement

Les domaines de phishing présentent des schémas d'enregistrement caractéristiques qui les distinguent des domaines légitimes, avant même leur apparition sur une blocklist :

L'âge : la majorité des domaines de phishing sont enregistrés moins de 30 jours avant leur utilisation. Un domaine enregistré hier qui héberge une page de connexion bancaire est un indicateur quasi certain de phishing.

La concentration par bureau d'enregistrement : certains registrars apparaissent de façon disproportionnée dans les jeux de données de domaines de phishing, en raison de politiques d'abus permissives, de tarifs bas et d'un enregistrement anonyme facile. Un domaine enregistré chez l'un d'eux mérite immédiatement une vigilance accrue.

Protection de la vie privée combinée à une ressemblance de marque : les institutions financières, les acteurs de la santé et les plateformes e-commerce légitimes ne dissimulent pas leurs coordonnées derrière des services d'anonymisation WHOIS. Un domaine visuellement proche d'une marque de confiance et enregistré sous protection de la vie privée est un signal d'alerte de phishing.

La surveillance de la Certificate Transparency

Les journaux de Certificate Transparency (CT) sont des registres publics de chaque certificat SSL émis par les autorités de certification participantes. Les attaquants doivent obtenir des certificats pour faire tourner des sites de phishing crédibles en HTTPS. En surveillant les journaux CT à la recherche de certificats émis pour des domaines correspondant à des motifs associés aux marques ciblées — via des expressions régulières ou de la correspondance approximative —, les équipes sécurité peuvent identifier une infrastructure de phishing quelques minutes après sa mise en service, souvent avant même l'envoi du premier e-mail de phishing.

Le clustering par DNS passif

Les domaines de phishing ou de C2 pris individuellement partagent souvent leur infrastructure avec des dizaines d'autres domaines malveillants. Si vous identifiez un domaine malveillant et interrogez ses associations d'IP historiques via le DNS passif, vous faites remonter toute la grappe. Un seul site de phishing confirmé peut mener à vingt autres domaines de phishing hébergés sur la même IP, tous pouvant être ajoutés préventivement aux blocklists.

Construire une pratique de threat hunting fondée sur les domaines

Une recherche de domaine efficace pour la détection du phishing et des C2 suppose de dépasser les recherches réactives pour aller vers la chasse proactive.

Surveillez la surface de votre marque

Définissez l'ensemble des termes qui constituent votre marque : domaine principal, noms de produits, noms de dirigeants et variantes courantes. Mettez en place une surveillance des flux de Certificate Transparency et des données d'enregistrement de nouveaux domaines afin d'être alerté dès qu'un domaine contenant l'un de ces termes est enregistré ou reçoit un certificat SSL. Beaucoup de campagnes de phishing visent des organisations précises : intercepter le domaine de phishing avant le lancement de la campagne donne aux défenseurs un avantage décisif.

Investiguez chaque domaine suspect dans les journaux

Les journaux de requêtes DNS sont une mine d'or pour la détection des C2. Chaque domaine interrogé par les systèmes de votre environnement doit pouvoir être inspecté. Tout trafic DNS anormal — requêtes vers des domaines récemment enregistrés, domaines composés de chaînes de caractères aléatoires évoquant un DGA, domaines aux schémas de résolution fast flux, ou domaines absents des registres d'entreprises légitimes — justifie une investigation.

Enrichissez les alertes avec du renseignement sur les domaines

Lorsqu'une alerte de sécurité se déclenche — détection antivirus, règle de corrélation SIEM, signalement comportemental EDR —, la recherche de domaine doit constituer une étape d'enrichissement automatique. Extrayez chaque domaine du contexte de l'alerte et interrogez immédiatement les données de réputation. Un processus qui établit des connexions sortantes vers un domaine enregistré il y a trois jours, résolvant vers une IP d'hébergement bulletproof connue et présent sur des blocklists C2 est presque certainement compromis. Les données de réputation transforment une anomalie comportementale en incident assumé.

Utilisez des plateformes de threat intelligence pour la corrélation

Des plateformes comme IsMalicious corrèlent simultanément les données de réputation de domaine issues de plusieurs catégories de sources, et fournissent un score de risque unique qui reflète la situation dans son ensemble. Plutôt que d'interroger manuellement une demi-douzaine de blocklists distinctes, un seul appel API retourne la présence sur l'ensemble d'entre elles, complétée par les données d'enregistrement, la réputation IP et le contexte d'abus historique. C'est cette consolidation qui rend la recherche de domaine en temps réel praticable dans les environnements à fort volume.

Intégrer la recherche de domaine dans l'outillage de sécurité

L'intégration au pare-feu DNS (RPZ)

Les Response Policy Zones DNS permettent aux organisations d'intercepter les requêtes DNS vers des domaines malveillants et de renvoyer une réponse de blocage avant même l'établissement de la connexion. Les données IsMalicious peuvent alimenter directement des politiques RPZ, et bloquer domaines C2 et sites de phishing dès la couche DNS — avant qu'une connexion TCP ne soit établie, avant qu'un contenu ne soit chargé, et avant qu'un utilisateur ne puisse être trompé.

La chaîne d'enrichissement SIEM

Configurez la chaîne d'ingestion de votre SIEM pour enrichir automatiquement, avec les données de réputation IsMalicious, les entrées de journal contenant des noms de domaine. Les analystes qui traitent les files d'alertes voient alors le contexte de risque du domaine à côté de chaque événement, sans avoir à effectuer de recherche manuelle.

La passerelle de sécurité e-mail

Configurez votre passerelle e-mail pour extraire tous les domaines du corps et des en-têtes des messages entrants et les soumettre à des contrôles de réputation. Les liens de phishing se dissimulent fréquemment derrière des raccourcisseurs d'URL ou des chaînes de redirection : configurez les contrôles sur la destination finale résolue, et pas seulement sur l'URL initiale.

L'avantage du renseignement

La détection des infrastructures de phishing et de C2 par la recherche de domaine ne remplace ni la sécurité des endpoints, ni la surveillance comportementale, ni la sensibilisation des utilisateurs. C'est une couche de renseignement qui rend tous les autres contrôles de sécurité plus efficaces.

Quand votre outil de détection sur endpoint déclenche une alerte, les données de réputation de domaine vous disent immédiatement si le domaine impliqué appartient à l'infrastructure d'un acteur malveillant connu. Quand votre passerelle e-mail signale un message suspect, la recherche de domaine confirme si les liens intégrés pointent vers des sites de phishing actifs. Quand votre équipe de threat hunting investigue un trafic DNS anormal, le renseignement sur les domaines sépare le bruit des menaces confirmées en quelques secondes.

Utilisez IsMalicious pour vérifier n'importe quel domaine dans notre base de threat intelligence complète et savoir s'il est lié à des campagnes de phishing, à des opérations C2 ou à d'autres activités malveillantes.