Le DNS, l'annuaire d'Internet

Un nom de domaine n'a de valeur que par les enregistrements qui lui sont associés. La CISA cite par exemple les enregistrements d'adresse (A), de serveur de messagerie (MX) et de serveur de noms (NS)².

Le chemin d'attaque décrit par la CISA tient en trois temps. L'attaquant compromet, ou obtient autrement, les identifiants d'un compte qui peut modifier les enregistrements DNS. Il remplace ensuite l'adresse légitime d'un service par une adresse qu'il contrôle, ce qui lui permet d'examiner ou de manipuler le trafic avant, s'il le choisit, de le transmettre au vrai service. Il peut enfin obtenir des certificats valides pour décrypter ce trafic et lire les données saisies par les utilisateurs². La CISA ajoute que ce risque persiste au-delà de la période de redirection².

MITRE signale une autre possibilité : créer silencieusement des sous-domaines pointant vers des serveurs malveillants, sans que le propriétaire du serveur DNS s'en aperçoive³. Le même texte précise qu'une grande partie de cette activité se déroule hors de la vue de l'organisation visée, ce qui rend sa détection difficile³.

Le DNS sert aussi de canal de commande. Dans la technique de balisage DNS, des commandes passent par des requêtes DNS, dans des enregistrements de type TXT ou A. Ces balises sont difficiles à repérer parce qu'elles communiquent rarement avec les appareils infectés, ce qui les noie dans le trafic normal⁴. La résolution dynamique, elle, permet à un logiciel malveillant d'ajuster le nom de domaine, l'adresse IP ou le port qu'il utilise⁵.

• Lisez l'adresse affichée avant de saisir un mot de passe ou des données. Comparez-la lettre par lettre avec l'adresse habituelle : un nom de domaine proche, avec une faute de frappe, mène à un autre site.
• Ne vous fiez pas à l'absence d'alerte du navigateur. Un certificat valide ne prouve pas que la redirection n'a pas eu lieu².
• Ouvrez vos services par vos favoris ou par l'adresse officielle communiquée par l'entreprise plutôt que par un lien reçu.
• Signalez à votre support tout comportement inhabituel : page de connexion inattendue, messagerie qui se comporte autrement, site connu qui se présente différemment.
• Ne modifiez pas les paramètres DNS de votre poste ni de votre routeur de bureau.

Premier piège : croire qu'une adresse correcte suffit. Dans les attaques décrites par la CISA, c'est l'annuaire qui est modifié, pas l'adresse que l'utilisateur tape².

Deuxième piège : penser que le sujet ne concerne que les informaticiens. L'attaque commence par des identifiants : la CISA a exigé des agences fédérales de l'exécutif américain un changement des mots de passe des comptes capables de modifier le DNS et l'ajout d'une authentification multifacteur². Elle recommande des facteurs résistants à l'hameçonnage et déconseille l'authentification par SMS². Un salarié qui gère un nom de domaine ou un compte chez un hébergeur DNS est directement concerné.

Troisième piège : supposer que le fournisseur est toujours à l'abri. MITRE range la compromission de serveurs DNS tiers parmi les techniques des attaquants, qui évitent ainsi de monter leurs propres serveurs³.

Des services de DNS dynamique, comme DuckDNS, ont été utilisés par le groupe APT-C-36 pour rediriger des victimes vers des sites ou dépôts hébergeant des logiciels malveillants⁵. Un nom de domaine inconnu n'est donc pas un indice de confiance, quel que soit son aspect.

Janvier 2019 : la directive d'urgence de la CISA

Le 22 janvier 2019, la CISA a publié la directive d'urgence ED 19-01, « Mitigate DNS Infrastructure Tampering »². Elle indiquait suivre une série d'incidents de manipulation de l'infrastructure DNS et savoir que plusieurs domaines d'agences de l'exécutif américain étaient touchés². Elle imposait aux agences quatre actions. Les trois premières, à réaliser sous 10 jours ouvrés, étaient d'auditer les enregistrements DNS publics, de changer les mots de passe des comptes concernés et d'ajouter une authentification multifacteur². Pour la quatrième, la CISA commençait sous 10 jours ouvrés à livrer les nouveaux certificats aux journaux de transparence des certificats, et les agences devaient les surveiller dès réception². Le texte de la CISA indique aujourd'hui qu'elle a conclu que l'objectif de la directive était atteint et qu'elle l'a clôturée².

2019 : la campagne Sea Turtle

MITRE rattache au groupe Sea Turtle la modification d'éléments de serveurs de noms (NS) pour renvoyer vers des serveurs DNS qu'il contrôlait, afin de fournir les réponses à toutes les requêtes DNS³. Parmi les références de MITRE figure une analyse de Cisco Talos du 17 avril 2019, « Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service », suivie d'une seconde du 9 juillet 2019³. Les sources du dossier ne détaillent pas les victimes de cette campagne.

Le guide NIST SP 800-81 Rev. 3, publié en mars 2026, remplace la version de 2013¹. Il donne des recommandations de déploiement pour sécuriser le protocole et l'infrastructure DNS, limiter les erreurs de configuration et ajouter une couche de sécurité réseau¹. Parmi ses mots-clés figurent DNSSEC, le DNS chiffré, le DNS protecteur et la journalisation DNS¹. La directive de la CISA rappelle aussi la surveillance des certificats émis et l'inventaire des domaines gérés².