Domaines compromis et phishing : quand des sites de confiance deviennent une infrastructure d'attaque

Réponse courte : un domaine de confiance peut héberger une page qui ne l'est pas. Les domaines compromis permettent aux attaquants de contourner les contrôles de réputation simplistes en dissimulant kits de phishing, redirections et charges utiles sous des sites web légitimes. Les défenseurs ont besoin de contexte au niveau de l'URL, du chemin, des redirections et de l'hébergement.

De nombreux contrôles de sécurité considèrent l'ancienneté et la réputation d'un domaine comme des signaux positifs. C'est logique : un domaine enregistré il y a dix ans, avec un trafic normal, est généralement moins suspect qu'un domaine créé ce matin. Les attaquants le savent, alors ils compromettent des sites web légitimes et y hébergent leurs contenus malveillants.

Le domaine peut appartenir à une PME, une école, une association, un site WordPress à l'abandon, un portail fournisseur ou un blog personnel. L'organisation propriétaire n'a parfois aucun lien avec la campagne de phishing. Mais pour la victime, comme pour certains filtres, l'URL commence par un domaine familier et ancien.

C'est ce qu'on appelle le contournement de réputation. L'attaquant emprunte la confiance au lieu de la construire.

Comment les domaines compromis sont utilisés

Les attaquants exploitent les domaines compromis de plusieurs manières :

• Héberger des pages de phishing complètes sous des chemins dissimulés.
• Héberger des redirecteurs qui envoient les victimes vers le kit de phishing final.
• Distribuer des charges utiles de malware.
• Héberger de fausses factures ou de faux visualiseurs de documents.
• Injecter du JavaScript malveillant dans des pages existantes.
• Créer des sous-répertoires imitant des marques de confiance.
• Exploiter des vulnérabilités de redirection ouverte (open redirect).
• Stocker images et ressources utilisées dans les e-mails de phishing.

Le site compromis n'est parfois qu'un maillon de la chaîne. Le lien contenu dans l'e-mail pointe vers un domaine légitime, qui redirige vers un autre hôte, lequel aboutit à une page de phishing. Chaque saut complique l'analyse et le takedown.

Pourquoi la réputation limitée au domaine échoue

La réputation au niveau du domaine est utile, mais incomplète. Un même domaine peut héberger du contenu bénin et du contenu malveillant. Bloquer le domaine entier peut casser du trafic légitime. L'autoriser entièrement peut laisser passer le chemin malveillant.

Les attaquants exploitent cette tension. Une URL de phishing du type legitimate-site.example/wp-content/uploads/secure-login.html hérite de la bonne réputation du domaine. Si le scanner n'analyse que le domaine racine, il peut passer à côté du chemin précis.

Les défenseurs ont besoin d'une analyse plus profonde :

• Réputation de l'URL complète.
• Motifs de chemins et de noms de fichiers.
• Inspection de la chaîne de redirection.
• Réputation de l'IP d'hébergement.
• Contenu de la page et comportement des formulaires.
• Changements de certificat et de DNS.
• Observations historiques.
• Liens avec des campagnes connues.

Pour un décryptage de l'infrastructure, voir Anatomie d'une infrastructure de phishing et Recherche de domaine pour la détection de phishing.

Origines fréquentes des compromissions

Les domaines compromis résultent le plus souvent de défaillances ordinaires d'hygiène web :

• Plugins CMS obsolètes.
• Mots de passe administrateur faibles.
• Panneaux d'administration exposés.
• Identifiants FTP ou d'hébergement volés.
• Sites à l'abandon.
• Formulaires d'upload vulnérables.
• Buckets de stockage mal configurés.
• Agences ou développeurs web compromis.

Les attaquants privilégient les sites où des fichiers malveillants peuvent passer inaperçus. Les petits sites peu surveillés sont attractifs. Les sites comportant de nombreux répertoires d'upload, de vieux plugins ou une isolation d'hébergement faible le sont tout autant.

Signaux de détection

Recherchez :

• De nouveaux fichiers suspects dans les répertoires d'upload.
• Des formulaires de connexion sur des pages qui ne devraient pas exiger d'authentification.
• Des noms de marque dans des chemins d'URL inattendus.
• Des scripts en base64 ou obfusqués dans les pages.
• Des redirections vers des domaines fraîchement enregistrés.
• Des pics de trafic vers des chemins obscurs.
• Des signalements externes concernant des URL de votre domaine.
• Des avertissements de moteurs de recherche.
• L'émission de certificats pour des sous-domaines inattendus.

Pour la protection en entrée, analysez les URL complètes présentes dans les e-mails et les messageries instantanées. Résolvez les redirections en toute sécurité. Vérifiez chaque saut. Enrichissez à la fois les domaines et les IP. Un premier domaine de confiance suivi d'un hôte final suspect reste dangereux.

Réponse pour les propriétaires de sites

Si votre domaine est compromis :

1. Mettez le contenu malveillant hors ligne.
2. Conservez des copies pour l'investigation.
3. Corrigez le CMS, le plugin ou le chemin d'upload vulnérable.
4. Renouvelez les identifiants d'hébergement, de CMS, FTP et d'administration.
5. Analysez les journaux du serveur web pour repérer les schémas d'upload et d'accès.
6. Recherchez d'éventuels fichiers dissimulés supplémentaires.
7. Soumettez des demandes de nettoyage aux navigateurs et aux blocklists en cas de signalement.
8. Surveillez toute réinfection.

Ne supprimez pas uniquement le fichier de phishing visible. Les attaquants laissent souvent des backdoors ou des droppers additionnels.

Réponse pour les défenseurs qui reçoivent l'URL

Si vos utilisateurs reçoivent des liens vers des domaines compromis, évitez la décision binaire « bon domaine ou mauvais domaine ». Analysez l'URL exacte et la chaîne de redirection. Bloquez le chemin malveillant lorsque c'est possible. Si le site continue de servir du contenu malveillant, bloquez temporairement le domaine et documentez l'impact métier.

Signalez-le au propriétaire du domaine, à l'hébergeur et aux programmes de safe browsing concernés. Fournissez les URL exactes, les horodatages, les captures d'écran et les hashs des charges utiles si vous en disposez.

Workflow d'analyse au niveau de l'URL

Un workflow mature part de l'URL complète, pas du domaine racine. Conservez le lien d'origine exactement tel qu'il a été reçu, y compris chemin, chaîne de requête, fragment et encodage éventuel. Les attaquants dissimulent souvent le routage de la charge utile dans les paramètres, ou enchaînent plusieurs redirections encodées pour tromper les scanners.

Résolvez la chaîne de redirection en sandbox. Enregistrez chaque saut, le code de statut, la destination, l'IP d'hébergement, le certificat et le titre de page. Certaines infrastructures de phishing servent du contenu bénin aux scanners et du contenu malveillant aux victimes : testez avec prudence et n'interagissez pas avec les formulaires de saisie d'identifiants.

Comparez le chemin à la structure normale du site légitime. Une page de connexion aux couleurs d'une banque, hébergée dans le répertoire d'upload d'une petite entreprise industrielle, est suspecte même si le domaine est ancien. Recherchez les fichiers récemment modifiés, les répertoires inconnus et les noms de fichiers imitant les schémas classiques de partage de documents.

Enrichissez chaque domaine et chaque IP de la chaîne. Le premier domaine peut être légitime, mais l'hôte final ou un redirecteur intermédiaire peut avoir un historique malveillant connu. La réputation doit s'appliquer à toute la chaîne, pas seulement au premier clic.

Décisions de continuité d'activité

Bloquer des domaines légitimes compromis est délicat. Un site universitaire, un portail fournisseur ou un domaine client peut héberger un seul chemin malveillant et des milliers de pages parfaitement saines. Bloquer le domaine racine risque de perturber l'activité. Tout autoriser expose les utilisateurs.

Procédez par couches. Bloquez d'abord l'URL exacte lorsque c'est possible. Bloquez les chemins ou les schémas de redirection suspects si la plateforme le permet. Bloquez temporairement le domaine complet lorsque l'exploitation est étendue, que le site diffuse du malware ou que le blocage au niveau du chemin n'est pas fiable.

Documentez la raison de chaque blocage. Quand les utilisateurs demandent pourquoi le domaine d'un partenaire connu est bloqué, les analystes doivent pouvoir expliquer qu'un chemin précis ou une chaîne de redirection était malveillant. Une documentation claire réduit la pression visant à réautoriser prématurément un trafic à risque.

Surveiller vos propres domaines

Les organisations doivent surveiller leurs propres domaines comme une infrastructure d'attaque potentielle. Cherchez dans les journaux web les chemins inattendus, les pics soudains de trafic vers des fichiers obscurs, les signalements émis par des éditeurs de sécurité et les nouveaux web shells. Surveillez la certificate transparency pour repérer les sous-domaines inattendus. Guettez les fichiers déposés en dehors des workflows de déploiement habituels.

Si votre domaine apparaît dans des campagnes de phishing, la réponse ne se limite pas au nettoyage. C'est aussi une question de protection de marque. Les victimes peuvent associer l'attaque à votre organisation, même si vous en êtes également victime. Un takedown rapide, une communication transparente et une surveillance post-nettoyage aident à préserver la confiance.

Métriques à suivre

Suivez les URL de domaines compromis par source, le délai de détection, le délai de blocage, le délai de signalement et le délai de confirmation du nettoyage. Côté défense en entrée, mesurez la fréquence à laquelle les liens de phishing s'appuient sur des domaines légitimes compromis plutôt que sur des domaines fraîchement enregistrés. Cela aide à faire évoluer les contrôles au-delà des décisions fondées sur le seul domaine.

Suivez également les verdicts de chaînes de redirection. Si la plupart des liens malveillants reposent sur des chaînes de deux ou trois sauts, investissez dans un outillage capable de résoudre et d'analyser ces chaînes en toute sécurité avant la distribution.

Pièges pour l'analyste

Ne supposez pas qu'un domaine racine propre implique une URL propre. Ne supposez pas que HTTPS signifie sécurité. N'ignorez pas les paramètres de requête. Ne vous arrêtez pas à la première redirection. Ne vous fiez pas uniquement aux captures d'écran : certaines pages changent selon la géographie, l'user agent ou l'heure.

Surtout, ne sanctionnez pas sans preuve le propriétaire victime d'un domaine compromis. De nombreuses petites structures deviennent des hébergeurs involontaires à cause d'un CMS négligé. L'objectif est le nettoyage et la protection, pas la mise en cause.

Améliorer la détection en 30 jours

La première semaine, adaptez les règles de sécurité e-mail et messagerie pour conserver et analyser les URL complètes, et non les seuls domaines racines. Assurez-vous que les journaux stockent le lien d'origine et la destination finale après redirection.

La deuxième semaine, ajoutez l'analyse des chaînes de redirection pour les liens suspects. Même sans automatisation complète, les analystes doivent disposer d'un workflow sandbox reproductible pour résoudre les chaînes en toute sécurité.

La troisième semaine, affinez les allowlists. Les vieilles allowlists de domaines trop larges sont dangereuses lorsque les domaines compromis sont monnaie courante. Remplacez les autorisations larges par des règles spécifiques au métier, des contraintes de chemin ou des exceptions plus sûres quand c'est possible.

La quatrième semaine, mesurez la proportion de liens suspects qui reposent sur des domaines légitimes compromis. Cette métrique aide la direction à comprendre pourquoi la réputation de domaine ne peut pas porter le programme à elle seule.

Signaux défensifs liés au contenu

Les pages compromises paraissent souvent légèrement décalées. Les éléments de marque peuvent être chargés depuis des hôtes sans rapport. Les formulaires peuvent pointer vers des endpoints étranges. Le JavaScript peut être obfusqué. Le chemin de la page peut contenir des chaînes aléatoires, des répertoires d'upload ou des noms de marque sans lien avec le propriétaire du domaine.

Les scanners automatisés doivent capturer ces caractéristiques. Les analystes humains doivent apprendre à les lire rapidement. Les meilleures décisions combinent contenu de la page, contexte d'hébergement, chaîne de redirection et réputation historique.

Collaboration sur les takedowns

Lorsque vous signalez un domaine compromis, soyez précis et utile. Incluez les URL exactes, les preuves, les horodatages, les e-mails sources, les chaînes de redirection et les éventuels hashs de charges utiles. Le propriétaire d'un petit site n'a probablement pas d'équipe sécurité. Un signalement clair augmente les chances d'un nettoyage rapide.

Si le propriétaire du domaine ne répond pas et que le site continue de nuire aux utilisateurs, escaladez vers les hébergeurs, les bureaux d'enregistrement et les programmes de safe browsing. Conservez la trace de ces démarches pour que les parties prenantes métier comprennent le parcours de réponse.

SEO poisoning et domaines compromis

Les domaines compromis alimentent aussi l'empoisonnement des résultats de recherche. Les attaquants injectent des pages ciblant des logiciels populaires, des factures, des formulaires fiscaux, des outils d'IA ou des requêtes d'actualité chaude. Comme le domaine hôte dispose déjà d'un historique de référencement, les pages malveillantes gagnent parfois en visibilité plus vite qu'avec un domaine tout neuf.

Les défenseurs doivent traiter toute page indexée inattendue sous leurs domaines comme un signal de sécurité. Cherchez les titres étranges, les mots-clés de spam, les pages en langue étrangère et les répertoires qui ne correspondent pas au site. Un domaine compromis peut nuire aux utilisateurs et à la confiance dans la marque bien avant qu'un e-mail de phishing ne soit signalé.

Pour la défense en entrée, rappelez-vous que les utilisateurs peuvent arriver via des résultats de recherche, et pas seulement par e-mail. La protection navigateur, le filtrage DNS et l'analyse d'URL doivent évaluer les pages d'atterrissage finales et les téléchargements, même lorsque le clic initial provient d'un moteur de recherche.

Données à conserver

Conservez l'URL d'origine, la chaîne de redirection, le HTML de la page, les scripts, les fichiers téléchargés, les IP d'hébergement, les certificats, les captures d'écran et les horodatages. Si la page change par la suite, ces éléments aident les équipes de réponse à incident et de takedown à comprendre ce qui s'est passé.

La préservation des preuves aide aussi à affiner les contrôles. Si les analystes peuvent comparer le HTML malveillant, le comportement des redirections et l'infrastructure d'hébergement d'un cas à l'autre, ils écriront de meilleures détections que « ce domaine est mauvais ». Avec le temps, ces motifs révèlent des kits réutilisés, des services de redirection récurrents, des chemins CMS abusés et des clusters d'infrastructure qu'un signalement d'URL isolé ne montrerait jamais.

C'est dans cette boucle d'apprentissage que la réputation devient une défense durable.

Cela améliore aussi les takedowns.

Ce qu'il faut retenir côté threat intelligence

Les domaines compromis démontrent que la réputation doit être contextuelle. L'ancienneté d'un domaine et sa confiance historique ne suffisent pas quand un seul chemin peut devenir malveillant.

isMalicious permet d'enrichir les URL complètes, les domaines, les IP d'hébergement et les infrastructures associées. Lorsqu'un lien d'apparence fiable apparaît dans une campagne, le contexte de réputation sur l'ensemble de la chaîne aide les défenseurs à décider s'il faut autoriser, bloquer ou investiguer.