Regroupement d'infrastructures malveillantes : comment le DNS passif, les certificats TLS et les ASN révèlent des campagnes partagées

Réponse courte : le clustering est l'art de réunir des signaux faibles (même sous-réseau, noms d'hôte co-occurrents) en une histoire défendable, puis de s'arrêter avant que votre graphe ne devienne un mur de complotiste.

Les trois signaux piliers

1. Le DNS passif — l'historique de ce qui a résolu vers quoi, pour relier des noms d'hôte à des IP même après le renouvellement des TTL
2. Les certificats — noms de sujet, champs d'organisation et matériel cryptographique réutilisé, capables de relier kits de phishing et panneaux d'administration
3. Les ASN et les registrars — faibles isolément, mais utiles comme a priori, cf. les bases de la réputation d'ASN

Combinés, ils produisent ce que les équipes de threat intelligence appellent un cluster d'infrastructure : non pas la preuve d'une personne unique, mais souvent la preuve d'une opération ou d'une chaîne d'outillage unique.

Une méthode ancrée dans le réel (sans théâtre du graphe)

Étape 1 : ancrez-vous sur un observable à forte certitude

• Un domaine de phishing issu d'une source de messagerie fiable
• Un C2 remonté par l'antivirus ou l'EDR, pas un refus de pare-feu au hasard

À lire en parallèle : panorama des C2 et de leur infrastructure et l'explication narrative qu'est-ce qu'un serveur C2 ?

Étape 2 : enrichissez l'ancre et consignez la provenance

Utilisez l'enrichissement rapide d'IOC pour capturer :

• first/last seen, catégories et diversité des listes
• les hashes associés si un malware entre dans le périmètre

Si vous construisez de l'automatisation, alimentez un objet d'enrichissement SIEM+SOAR avec les résultats, pour que le cluster ne survive pas uniquement dans un jeu de diapositives.

Étape 3 : ne pivotez que sur les arêtes rares

• Réutilisation de certificat d'une feuille peu commune ou d'un champ org inhabituel sur de l'hébergement gratuit
• Sous-domaines partageant un même gabarit (login- + votre marque) chez plusieurs registrars
• IP dans des ASN petits et stables (parfois plus signifiants qu'un hyperscaler) — voyez la nuance dans la réputation des IP cloud

Étape 4 : cherchez à falsifier votre hypothèse

Cherchez activement une explication bénigne : CDN mutualisé, page de parking, ou prestataire marketing utilisant le même bundle de certificats SaaS. Invalider un pivot est un succès : cela fait gagner du temps.

Pièges courants (nous nous y sommes tous brûlés)

• La culpabilité par adjacence d'IP dans un /20 rempli de clients
• La culpabilité par certificat wildcard partagé (certains CDN et SaaS sont des machines à bruit)
• La confusion entre sinkholes de takedown et véritable infrastructure adverse

Si vous cherchez à comprendre pourquoi un domaine est suspect, relisez phishing et sites clonés et l'anatomie d'une infrastructure de phishing pour disposer d'une grille de lecture structurée.

Transformer les clusters en action : CTI, réponse à incident et takedowns

• CTI — rédigez une note de campagne avec des arêtes, pas seulement un sac d'objets STIX
• Réponse à incident — projetez les clusters sur la matrice MITRE que vous utilisez déjà dans les TTP des attaquants en 2026
• Takedown — préparez un dossier associant certificats, similarité HTTP et preuves de phishing à destination des hébergeurs et registrars (les équipes marque y sont sensibles — voir le runbook d'usurpation de marque)

Comment isMalicious soutient la boucle

isMalicious n'est pas un produit de DNS passif à part entière, mais c'est une excellente couche d'accélération de la réputation pour chaque pivot. Quand une IP ou un domaine candidat apparaît, vous savez rapidement si Internet s'accorde déjà à le juger malveillant ou brûlant, avant d'ouvrir un graphe de 10 000 nœuds. Pour l'adéquation fournisseur, la perspective « alternative à VirusTotal » expose clairement le périmètre et les limites.

Vérification pratique : pour chaque pivot, ouvrez le vérificateur d'IP / de domaine intégré à l'application afin d'attacher en quelques minutes un contexte communautaire croisé.

À retenir

Le clustering n'est pas de la science magique des graphes : c'est du pivot falsifiable et minuté, appuyé sur des traces défendables. Les équipes qui le maîtrisent produisent moins de diapositives et de meilleurs blocages.

Pour aller plus loin

• Threat intelligence IP et domaine publique à grande échelle
• Threat intelligence stratégique, tactique et opérationnelle
• Threat intelligence contextuelle : replacer les signaux dans leur contexte métier

Un « budget de graphe » d'une page pour éviter les impasses

Si votre équipe de hunting vit dans un outil de graphe, budgétez l'exploration comme vous budgétez la dépense cloud :

• Minutez la session de pivot (45 minutes) puis réévaluez. Si les seuls nouveaux nœuds appartiennent à un immense CDN, arrêtez.
• Plafond de nœuds : pas plus de N nouvelles IP par domaine parent sans escalade humaine. Cela évite les incidents du type « j'ai cliqué sur développer ».
• Règle d'arête : exigez deux types d'arêtes indépendants pour faire passer un nœud de « peut-être » à « à inclure dans le rapport » (par exemple, DNS passif vers l'IP et recouvrement de certificat, pas ou).
• Écrivez l'hypothèse d'abord, en une phrase. Si vous n'y arrivez pas, vous collectionnez des nœuds pour la dopamine, pas pour la défense.

Quand impliquer les autorités ou les équipes abus des plateformes

Ceci n'est pas un conseil juridique, mais en pratique vous voulez des artefacts propres et reproductibles : horodatages, hash du kit de phishing, leurres présentés aux victimes et un récit d'abus concis. Un instantané de réputation issu d'un service comme isMalicious peut être joint comme contexte de support (« largement signalé »), mais le service abus de l'hébergeur attend toujours une URL et une violation caractérisée des conditions d'utilisation, pas une dissertation philosophique.

Pourquoi « même certificat » est parfois du bruit

Un certificat partagé peut signifier « même phisher » ou « même gabarit SaaS gratuit ». La différence tient à ceci : les noms du certificat sont-ils spécifiques à votre marque, et les pages clonent-elles votre page de connexion plutôt qu'un gabarit générique « connectez-vous à Microsoft » ? En cas de doute, comparez avec la façon dont les attaquants construisent leur infrastructure de phishing, puis validez la chaîne de caractères du domaine à l'aide des explications sur le typosquatting avant d'investir une heure de plus dans le pays des graphes.

« Assez abouti » pour un rapport contre « assez abouti » pour un WAF

Tous les graphes n'ont pas leur place dans un rapport de renseignement publiable, et presque aucun ne devrait se transformer en règle de pare-feu globale. Utilisez cette séparation :

• Livrable CTI = récit + liste d'arêtes reproductible (courte, vérifiée) + langage de confiance
• Livrable défensif = IOC à forte confiance, périmètre étroit et plan de retour arrière

Cela reflète la discipline que nous appliquons en parlant des scores de risque en threat intelligence et des faux positifs : la précision l'emporte sur le spectacle.

Un exemple compact (illustratif, campagne fictive)

| Observable | Ce qui change une fois le contexte ajouté | | --------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Enregistrement A de evil-login.example → une IP cloud | attendu ; le cloud seul n'est pas un verdict (voir les recommandations sur les IP cloud) | | Un autre nom d'hôte avec le même champ O de certificat peu commun | intéressant ; à promouvoir en « à investiguer » | | 50 domaines partageant un wildcard de CDN populaire | bruit ; ne construisez pas un « méga-cluster » à partir de CDN | | Un hash rare lié à un kit de phishing contactant lui aussi le même nom d'hôte | forte valeur ; reliez malware et réseau, comme dans les workflows décrits dans la réputation des empreintes de fichiers en réponse à incident |

Renvoi : OSINT et limites juridiques

Si votre hunting est semi-public, gardez l'éthique et le processus en tête : notre explication de l'OSINT pour les équipes SOC est un bon compagnon pour que vos pivots ne se transforment pas en incident de conformité.