1. Introduction : une menace de plus en plus repérée
Des chercheurs en cybersécurité sonnent l’alarme : les services de DNS dynamique (Dynamic DNS, ou DynDNS), conçus à l’origine pour permettre à des utilisateurs légitimes de gérer facilement des sous-domaines et accéder à des machines dont l’adresse IP change, sont de plus en plus détournés par des cybercriminels. Ces services sont utilisés comme des plateformes de command-and-control (C2) ou pour héberger des contenus malveillants, afin de contourner les protections classiques.
2. Pourquoi les DNS dynamiques sont attractifs pour les attaquants
Plusieurs raisons rendent ces fournisseurs particulièrement utiles aux malfaiteurs :
Inscription minimaliste : souvent, peu de vérifications d’identité sont exigées pour obtenir un sous-domaine, ce qui facilite l’anonymat.
Faible régulation et surveillance : contrairement aux registraires de domaine traditionnels soumis à de fortes régulations (ICANN, IANA), les services DNS dynamiques opèrent généralement sous des règles plus souples.
Coût faible et haute disponibilité : beaucoup de ces services offrent des sous-domaines gratuitement ou à bas prix, avec une gestion automatisée des enregistrements DNS, réduisant l’effort nécessaire pour les attaquants.
3. Exemples d’utilisation malveillants
Les rapports montrent que :
On recense environ 70 000 domaines proposant ce type de sous-location de sous-domaines (subdomain rental), exploités pour héberger du contenu malveillant ou gérer des infrastructures C2.
Des groupes de type APTMenace avancée et persistante visant un système spécifique sur le long terme. Attaque de SolarWinds par un État-nation. MITRE (acteurs étatiques ou parrainés) comme APT28 (Fancy Bear), APT29, APT10 ou APT33 utilisent déjà ce type d’infrastructure pour leurs communications de commande et contrôle, pour garder une certaine résilience face aux blocages.
Des techniques de rotation de sous-domaines ou d’algorithmes de génération de domaine (Domain Generation Algorithms, DGA) sont combinées à ces services pour basculer entre différents sous-domaines lorsque certains sont bloqués.
4. Défis pour la défense
L’usage de DNS dynamiques pose plusieurs difficultés aux équipes de sécurité :
Difficile de tout surveiller : avec des milliers de sous-domaines répartis sur divers fournisseurs, le blind-spot est important.
Blocage partiel : même si un sous-domaine malveillant est identifié, le fournisseur ou la topologie parent peut tarder à réagir, ou l’attaquant basculer sur un autre sous-domaine immédiatement.
Obfuscation : DNS dynamique permet de cacher l’infrastructure réelle, de brouiller la responsabilité directe et de compliquer la traçabilité.
5. Recommandations pour limiter les risques
Voici des mesures concrètes que les organisations peuvent appliquer :
Blocage et filtrage proactif
Mettre en place des listes noires des sous-domaines associés à des fournisseurs de DNS dynamique reconnus pour abus.
Surveiller les résolutions DNS sortantes et bloquer les sous-domaines suspects.
Surveillance comportementale DNS
Analyser les flux DNS pour détecter des modèles suspects : changement fréquent de sous-domaines, domaines récemment créés, rotation périodique ou comportement de DGA.
Mettre en place des alertes pour les noms de domaine nouvellement enregistrés avec des sous-domaines dynamiques utilisés pour des destinations internes ou des points de contrôle inconnus.
Politiques de blocs de sécurité dans les pare-feux / proxies
Ne pas autoriser le trafic sortant vers des sous-domaines de DNS dynamique non validés ou associés à des fournisseurs douteux.
Utiliser des proxys ou des appliances DNS sécurisées capables de filtrer ou inspecter le contenu DNS.
Collaboration avec les fournisseurs de DNS dynamique
Encourager ces fournisseurs à mettre en place des mécanismes de vérification d’identité minimale pour ceux qui louent des sous-domaines.
Rapports de réputation et de signalement entre fournisseurs, chercheurs et entreprises.
Formation et sensibilisation
Éduquer les équipes de sécurité et IT sur ce vecteur d’attaque émergent.
Inclure cette menace dans les exercices de simulation de sécurité (red teaming, tabletop).
6. Conclusion
L’exploitation des services de DNS dynamique par des acteurs malveillants illustre une évolution stratégique de l’infrastructure criminelle : des moyens simples, peu coûteux et efficaces pour maintenir des canaux de commande & contrôle robustes.
Pour les entreprises, la sécurité ne repose plus seulement sur les pare-feux ou les antivirusLogiciel de détection et suppression de malwares. ESET protège contre les ransomwares. NIST, mais sur une supervision intelligente de tous les niveaux d’infrastructure DNS, une anticipation proactive des vecteurs d’abus, et une collaboration étroite entre chercheurs, opérateurs DNS, et équipes de défense.