C’est exactement ce qui est arrivé à militaryfighterjet.com. À l’automne 2024, le domaine militaryfighterjet.com expire. Il est racheté en 48 heures. En accès direct, il sert un site de loterie. En passant par Google, il présente un clone quasi parfait de Lockheed Martin, jusqu’aux écrans « employees/partners » (ex. /index-2.html).

Autrement dit, la page de résultats d’un moteur de recherche vous amène sur une imitation crédible, tandis que l’accès direct révèle l’activité réelle et monétisée. L’enquête a lié ce cas à une infrastructure PhaaS opérant à grande échelle sur Google Cloud (Asie) et Cloudflare, capable de recycler des domaines expirés à forte réputation et de réutiliser des ressources statiques légitimes (images/JS/CSS de la marque) pour renforcer l’illusion.

La technique d'attaque en 5 étapes claires (MITRE ATT&CK^®)

1) Préparer le terrain (T1583/T1584)

Avant de lancer l'attaque, les pirates mettent en place une infrastructure solide.Leur objectif est de travailler avec des actifs “légitimes” — domaines, serveurs et services — qui bénéficient déjà d’une bonne réputation et ne déclenchent pas les mécanismes classiques de détection.

• T1583 - Acquisition de nouvelles infrastructures
  Les attaquants achètent de nouveaux domaines, louent des serveurs ou utilisent des services cloud sous leur contrôle. Ces ressources sont neuves, non encore signalées comme malveillantes, et paraissent légitimes pour les moteurs de recherche comme pour les solutions de sécurité.
  Exemple : Exemple : Enregistrer un nouveau domaine .com ressemblant à celui d’une marque connue, ou créer des serveurs sur Google Cloud pour héberger le faux contenu.

• T1584 - Compromission ou réutilisation d'infrastructures existantes
  Au lieu de partir de zéro, les attaquants récupèrent des ressources ayant déjà une bonne réputation , par exemple :

  • Racheter des domaines expirés autrefois utilisés par de vraies entreprises.

  • Compromettre des sites vulnérables pour y héberger leurs clones.

  • Exploiter des services cloud mal configurés ou des sous-domaines abandonnés.
    Comme ces actifs ont déjà une légitimité dans l’historique DNS et dans les index des moteurs de recherche, les attaques passent plus facilement sous les radars.

Cette étape est essentielle pour bâtir une campagne de phishing furtive , car elle repose sur des domaines et des serveurs crédibles aux yeux de Google et des solutions de surveillance.

2) Installer l'illusion (T1608.006)

• Une fois l'infrastructure en place, les attaquants créent un clone parfait au pixel près du site web légitime. Ils utilisent ensuite le cloaking , une technique consistant à présenter un contenu différent selon le type de visiteur :

  • Les robots des moteurs de recherche voient une version propre et optimisée SEO, ce qui permet au faux site d’apparaître en bonne position dans Google.

  • Les utilisateurs réels , eux, sont dirigés vers un faux portail ou vers des pages de jeux d’argent.

  Cette tactique est référencée T1608.006 - Empoisonnement à la SEO: manipuler les résultats des moteurs de recherche pour piéger les internautes.

3) Usurper l'identité (T1036)

Pour rendre la contrefaçon quasi indétectable, les attaquants copient l'identité visuelle de la marque et établissent des liens hypertextes avec de vraies ressources JS, CSS et images hébergées sur le site web d'origine. Par conséquent, le faux site semble presque impossible à distinguer du vrai.

4) Capturer l'accès (T1566 / parfois T1189)

Les utilisateurs arrivent sur le faux site par le biais d'une recherche ou de liens partagés et saisissent leurs informations d'identification (Phishing - T1566). En outre, certains clones déclenchent des redirections ou des téléchargements sans interaction (T1189).

5) Rester indétectable (évasion & rotation)

Enfin, les attaquants alternent les adresses IP et les régions d'hébergement tout en mettant à jour les règles de dissimulation afin de contourner les robots d'exploration de sécurité. Grâce à ces tactiques d'évasion, la campagne est restée en ligne pendant des années.

Liste de contrôle (Prévenir, Détecter, Réagir)

Gouvernance des domaines

• Pourquoi ? Les domaines expirés mais crédibles sont des points d'entrée courants.

• Action rapide : Activez le renouvellement automatique et le verrouillage du transfert, et surveillez les expirations et les domaines similaires.

• Vérifiez : Définissez les alertes d'expiration N-60/N-30/N-7.

DNS Hygiène

• Pourquoi ? Les CNAME orphelins sont souvent réutilisés à des fins de dissimulation.

• Action rapide : Purger A/AAAA/NOM/TEXTE pendant le déclassement et conserver une documentation DNS propre.

• Vérifiez : Automatiser les vérifications des différences de DNS par version.

DNS de protection (PDNS)

• Pourquoi ? Bloquer les domaines nouvellement enregistrés (NRD) et les infrastructures de phishing/C2.

• Action rapide : Utilisez des résolveurs de protection (dns0.eu, Quad9, DNS4EU) et transmettez les journaux à votre SIEM.

• Vérifiez : Confirmez les règles de blocage et validez les données SIEM.

Détection de l'occultation à double vue

• Pourquoi ? Les attaquants proposent une page aux robots d'indexation et une autre aux utilisateurs.

• Action rapide : Automatisez les comparaisons de captures d'écran entre les vues du crawler et du navigateur sur les requêtes de marque.

• Vérifiez : Archivez les différences et déclenchez des alertes lorsque des écarts sont détectés.

Détection de réseaux et de sites Web conforme aux normes MITRE

• Pourquoi ? reconnaître les étapes T1583/T1608.006/T1036/T1566 en logs.

• Action rapide : Créez des règles SIEM/NDR pour :

  • Plusieurs hôtes résolvant la même BDNI

  • Chemins de connexion inhabituels|sso|partenaires

  • Chaînes de redirection anormales

• Vérifiez : Ajustez les alertes et contrôlez les faux positifs.

Application & CDN Hardening

• Pourquoi ? Réduire l'impact de la réutilisation des actifs par des clones.

• Action rapide : Appliquez les règles CSP, SRI, Referrer-Policy et CORS strictes, et diffusez les ressources clés par le biais d'URL signées ou anti-liens chauds.

• Vérifiez : Examinez les rapports du CSP, surveillez les journaux du CDN.

Voies d'authentification forte

• Pourquoi ? Limitez le vol de données d'identification.

• Action rapide : Déployez FIDO2/Passkeys pour les employés et les partenaires, désactivez le SSO initié par l'IdP sur les flux sensibles et encouragez les signets gérés par l'entreprise.

• Vérifiez : Mesurez la couverture FIDO2 et suivez les exceptions restantes.

Préparation au désarmement

• Pourquoi ? Réduire la durée de vie des clones.

• Action rapide : Mettez en place des flux de travail en cas d'abus, préparez des dossiers de preuves (captures d'écran, WHOIS, DNS passif, journaux CT) et suivez l'accord de niveau de service (SLA) en cas d'abandon de la procédure.

• Vérifiez : Surveillez la durée moyenne de l'enlèvement et faites remonter l'information si nécessaire.

Remédiation ciblée et leçons tirées de l'expérience

• Pourquoi ? Contenir l'impact et améliorer la détection future.

• Action rapide : Effectuez une rotation des secrets/tokens après exposition, rescopez les origines CORS, vérifiez les dépendances cloud et affinez les règles SIEM en fonction des résultats.

• Vérifiez : Clôturez les actions de remédiation et confirmez les mises à jour de la détection.