Domaines expirés : la porte dérobée silencieuse du malware
Les attaquants s’emparent discrètement de domaines expirés pour exploiter leur réputation résiduelle, leur trafic et leur historique DNS, les transformant en chevaux de Troie pour diffuser des malwares et propager des arnaques. Chaque jour, environ 65 000 domaines précédemment utilisés sont réenregistrés, et Infoblox Threat Intel estime que près d’un domaine « neuf » sur cinq a déjà servi. Si certains reviennent entre de bonnes mains, une part croissante atterrit entre celles de cybercriminels qui savent qu’un ancien domaine vaut mieux qu’un nom vierge.
L’histoire, une arme à double tranchant
Un domaine ayant autrefois hébergé un site du Fortune 500 ou une entreprise de cybersécurité conserve des signaux que les outils de sécurité et les moteurs de réputation reconnaissent encore. Ces signaux peuvent inclure des résultats de recherche en cache, un trafic web résiduel issu de liens entrants, des enregistrements DNS persistants, voire des emails toujours acheminés vers l’ancien propriétaire. Les acteurs malveillants exploitent cette inertie : ils acquièrent le domaine et le détournent pour distribuer des malwares, alimenter des plateformes de streaming illégal ou servir d’infrastructure de commande et contrôle. Lors d’une campagne suivie, un acteur surnommé Sable Squirrel a dépensé près de 7 millions de dollars pour accumuler plus de 10 000 domaines expirés, en réutilisant certains comme hubs de streaming sportif illégal et d’autres comme serveurs C2 pour Quasar RAT, AsyncRAT, DCRat et Remcos RAT.
Le fonctionnement de l’abus
L’ampleur de ce phénomène varie. Parmi les domaines de premier niveau génériques, le volume quotidien moyen de réenregistrement est d’environ 50 400, avec 15 extensions représentant près de 92 % de l’activité totale. Les zones .net et .xyz affichent les taux de réutilisation les plus élevés : près de 30 % des nouveaux enregistrements avaient un propriétaire précédent, contre 24,5 % pour .com. Identifier qui achète ces domaines et comment ils sont employés reste complexe en raison de la protection WHOIS, des transferts, des enchères et des services de parking. Pourtant, la valeur héritée ne se limite pas à un meilleur score de réputation : il s’agit d’une plateforme clé en main pour l’injection de code sur des sites déjà compromis, d’un flux d’emails toujours adressé à l’ancienne boîte de réception, et même de pages en cache redirigeant les utilisateurs vers des pièges à malwares.
Pourquoi c’est important
Cet abus révèle une asymétrie fondamentale dans la sécurité des domaines : l’histoire est permanente, mais la propriété est éphémère. Les organisations qui laissent leurs domaines expirer risquent de céder aux attaquants un raccourci pour contourner les filtres de réputation, tandis que les défenseurs doivent désormais examiner non seulement les nouveaux domaines, mais aussi leurs ombres passées. L’essor des attaques par réenregistrement spontané suggère que les stratégies défensives devront évoluer au-delà des simples vérifications de l’âge des domaines, pour inclure une surveillance continue du DNS et du routage des emails, même pour les actifs n’appartenant plus à l’entreprise.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.