Fast flux DNS : détecter les infrastructures mouvantes

Le fast flux DNS transforme un domaine en cible mouvante. Au lieu de pointer vers un serveur stable, le nom alterne entre de nombreuses adresses IP, parfois réparties sur plusieurs systèmes autonomes et plusieurs pays en quelques minutes. Les attaquants exploitent cette résilience pour le phishing, la diffusion de malwares et les infrastructures de commande et contrôle.

Un blocage d’IP isolé devient vite obsolète. Une défense utile doit reconnaître le comportement du domaine, enrichir chaque adresse observée et conserver assez d’historique pour distinguer une rotation criminelle d’un CDN légitime.

À quoi ressemble le fast flux ?

MITRE ATT&CK classe le fast flux DNS sous T1568.001, parmi les techniques de résolution dynamique qui dissimulent une destination C2. Les variantes courantes sont :

• Flux simple : un domaine alterne entre un grand nombre d’enregistrements A ou AAAA.
• Double flux : les adresses du service et les serveurs de noms autoritaires changent.
• Flux de proxys : des appareils compromis relaient le trafic vers un backend mieux protégé.
• Campagne éphémère : domaines, certificats et chemins de redirection sont remplacés ensemble.

Les nœuds visibles peuvent eux-mêmes être des victimes. Un routeur résidentiel enrôlé dans un botnet constitue une infrastructure suspecte, mais son propriétaire n’est pas nécessairement l’attaquant. Cette nuance doit rester explicite dans les rapports et demandes de démantèlement.

Les signaux de détection pertinents

Aucun attribut ne suffit seul. Construisez un score à partir d’observations indépendantes :

1. Rotation des adresses : comptez les réponses A et AAAA uniques sur 15 minutes, une heure et 24 heures.
2. TTL faible : comparez les TTL observés à la plage habituelle du service et de son modèle d’hébergement.
3. Diversité réseau : mesurez le nombre d’ASN, de préfixes et de pays derrière le nom.
4. Réputation des nœuds : enrichissez chaque IP avec son historique de malware, proxy, botnet, scan et abus.
5. Contexte du domaine : examinez ancienneté, registrar, serveurs DNS, certificats et domaines associés.
6. Comportement du trafic : corrélez les requêtes avec le beaconing, les redirections, téléchargements ou tentatives de connexion.

Un domaine récent résolu vers 40 IP résidentielles mal réputées dans 18 ASN diffère fortement d’un nom de CDN ancien, attribué et associé à des certificats cohérents.

Un workflow pratique pour le SOC

Partez du domaine qui déclenche l’alerte et conservez l’horodatage exact. Reconstituez ses réponses avec l’historique DNS, puis envoyez les nœuds observés vers la recherche en masse. Regroupez les résultats par ASN, pays, catégorie de réputation et date de première observation.

Pivotez ensuite :

• recherchez les domaines frères hébergés sur les mêmes IP ;
• inspectez la réutilisation des certificats et serveurs de noms ;
• comparez les chemins de redirection et empreintes de pages ;
• vérifiez si des hôtes internes ont interrogé plusieurs domaines associés ;
• identifiez le premier endpoint et le processus à l’origine de la requête.

Ce processus transforme un nom volatil en preuves à l’échelle d’une campagne. Conservez le domaine comme indicateur principal et les IP tournantes comme observations limitées dans le temps.

Bloquer sans casser un service légitime

La détection produit des faux positifs lorsque le SOC surévalue un TTL faible ou une large dispersion géographique. Les plateformes SaaS, anti-DDoS et CDN déplacent aussi rapidement le trafic. Avant de bloquer, validez la propriété du domaine, son âge, la cohérence des certificats et la légitimité du service dans votre environnement.

Appliquez des niveaux de réponse :

• Confiance élevée : bloquez le domaine dans le DNS, le proxy et la messagerie ; isolez les endpoints concernés.
• Confiance moyenne : placez le domaine en sinkhole ou sous surveillance et collectez les charges utiles.
• Confiance faible : conservez l’observation, enrichissez davantage et évitez le blocage global des IP.

Une IP d’hébergement partagé exige une prudence particulière. Le contrôle au niveau du domaine préserve généralement une meilleure précision.

Mesurer le dispositif

Suivez le délai d’identification, le nombre de nœuds découverts, la proportion déjà malveillante, les endpoints touchés et le temps jusqu’au confinement. Mesurez les faux positifs par catégorie de service.

L’indicateur le plus révélateur est l’expansion de campagne : combien de domaines ou d’endpoints associés le workflow découvre-t-il au-delà de l’alerte initiale ? Il montre si la threat intelligence aide réellement à comprendre l’infrastructure.

Conclusion

Le fast flux contourne volontairement le blocage statique d’IP. Les défenseurs reprennent l’avantage en combinant DNS passif, diversité réseau, contexte du domaine et réputation. Commencez par la réputation du domaine, enrichissez chaque nœud avec la réputation IP, puis injectez les éléments confirmés dans un programme de threat intelligence opérationnelle.