Typosquatting et combosquatting

L'attaquant commence par choisir un nom proche de sa cible. MITRE décrit plusieurs variantes : homoglyphes, autre extension, alphabets différents¹. Le groupe EXOTIC LILY, par exemple, a usurpé des organisations en changeant l'extension en « .us », « .co » ou « .biz »¹.

Il achète ensuite le domaine. Les registraires tiennent chacun une base publique qui affiche les coordonnées de chaque domaine enregistré. Des services de WHOIS privé affichent à la place leurs propres informations, ce qui masque le propriétaire. L'attaquant peut aussi varier les informations d'enregistrement et les registraires pour gêner le suivi de son infrastructure¹.

Certains domaines sont à usage unique : MITRE note que des adresses peuvent être générées dynamiquement pour servir un contenu malveillant à une seule victime, y compris avec des noms de domaine à usage unique¹. D'autres attaquants rachètent des domaines expirés, qui peuvent déjà être autorisés ou jugés fiables par les défenseurs d'après leur historique¹.

Reste le site lui-même. Le site visé peut être un clone d'un portail de connexion légitime, ou lui ressembler assez pour porter dans son adresse des éléments du vrai site⁴. Le message qui l'accompagne cherche à faire cliquer, parfois avec plusieurs messages d'allure urgente⁴.

Le message paraît venir d'un organisme connu. La CISA liste des indices : adresse d'expéditeur proche d'une adresse réelle, formule d'appel générique du type « Dear Valued Customer », signature sans coordonnées, fautes d'orthographe et mise en page incohérente².

Le lien est le point faible. Si vous passez le curseur dessus et que l'adresse affichée ne correspond pas au texte du lien, il peut être falsifié. Un site malveillant peut ressembler à l'original, mais son adresse utilise une orthographe différente ou un autre domaine, par exemple .com au lieu de .net². Un service de raccourcissement d'adresse peut aussi cacher la destination réelle².

La page de connexion peut être une copie du portail légitime : les informations saisies dans les formulaires sont recueillies et envoyées à l'attaquant⁴. Avec certains kits de phishing (EvilProxy, Evilginx2), la victime est ensuite redirigée vers le vrai site, et l'attaquant capture aussi le cookie de session en plus de l'identifiant et du mot de passe⁴.

Le contrôle visuel a des limites. MITRE reconnaît que les homoglyphes, en ASCII comme dans les domaines internationalisés, ainsi que l'obfuscation des adresses, peuvent rendre difficile une vérification manuelle³. D'où l'intérêt d'outils : les bandeaux d'alerte sur les courriels venant de l'extérieur, les filtres et les fonctions anti-phishing du navigateur et de la messagerie²³.

Le parcours technique tient en quelques étapes que les sources décrivent séparément. L'attaquant acquiert un domaine proche de la cible¹. Il prépare un site qui clone un portail légitime ou en imite l'apparence⁴. Il envoie un courriel avec un lien accompagné d'un texte qui pousse à cliquer ou à copier l'adresse dans le navigateur⁴. Le site collecte alors les identifiants, ou propose de télécharger un fichier selon le prétexte³⁴.

Le lien peut cacher sa destination autrement. MITRE cite le format d'adresse avec des nombres entiers ou hexadécimaux comme nom d'hôte, et le fait que le texte placé avant un « @ » est ignoré. Voici une illustration neutralisée de ce type d'adresse, tirée de l'exemple de MITRE⁴ :

Illustration (adresse neutralisée) :
hxxp://google[.]com@1157586937
[le navigateur ignore « google.com » avant le @ et se connecte à l'adresse numérique]

Côté défense d'une organisation, MITRE propose d'enregistrer volontairement des domaines proches des siens pour décourager le typosquatting¹, de surveiller les domaines récemment créés avec une structure semblable à la sienne, y compris sous une autre extension¹, et d'utiliser SPF, DKIM et DMARC pour filtrer les messages d'après la validité du domaine expéditeur⁶.

Les pages de MITRE donnent des cas réels sans date de campagne : la date de dernière modification d'une page ne date pas l'incident. Les cas ci-dessous sont donc présentés sans date.

FIN7 : un lien typosquatté vers un faux outil (date non précisée par la source)

MITRE rapporte que FIN7 a envoyé des courriels d'hameçonnage ciblé contenant un lien typosquatté vers « ip-sccanner[.]com »³. Le groupe a aussi enregistré un domaine malveillant, advanced-ip-sccanner[.]com, qui redirigeait vers un Dropbox contrôlé par l'attaquant et contenant l'exécutable malveillant¹.

Magic Hound : des domaines choisis pour des victimes précises (date non précisée par la source)

Magic Hound a enregistré des domaines frauduleux comme « mail-newyorker[.]com » et « news12[.]com.recover-session-service[.]site » pour viser des victimes déterminées par des attaques de phishing¹.

Scattered Spider et Silent Librarian (date non précisée par la source)

Scattered Spider a enregistré des domaines pour usurper des portails de connexion d'entreprises¹. Silent Librarian a acquis des domaines pour des pages de collecte d'identifiants, qui usurpent souvent l'organisation visée, avec des extensions gratuites : .TK, .ML, .GA, .CF et .GQ¹.

• Lisez l'adresse en entier, de gauche à droite, avant de cliquer. Passez le curseur sur le lien et comparez-le au texte affiché².
• N'ouvrez pas le service par le lien reçu : la CISA recommande de ne pas suivre les liens envoyés par courriel pour fournir des informations personnelles ou financières². Brain conseille de passer par vos favoris. La CISA recommande aussi de vérifier la demande auprès de l'organisation avec des coordonnées trouvées dans un échange précédent, pas sur le site du message².
• Activez l'authentification multifacteur quand elle existe².
• Signalez le message. Le NCSC britannique indique que signaler une arnaque est gratuit, prend une minute et permet de protéger d'autres personnes⁵. Il peut enquêter sur les adresses de courriel et les sites frauduleux et les faire retirer⁵. Dans une entreprise, suivez d'abord la procédure de signalement interne.

• Se fier au cadenas seul : voir plus haut, la source parle de chiffrement².
• Juger à la mise en page : un site peut être un clone fidèle du portail légitime⁴.
• Compter sur l'œil : les homoglyphes rendent une vérification manuelle difficile³.
• Réutiliser un mot de passe : si un mot de passe saisi sur un faux site sert ailleurs, il faut le changer partout².
• Publier trop d'informations sur soi : le NCSC note que les criminels utilisent des informations disponibles en ligne, y compris sur les réseaux sociaux, pour rendre leurs messages plus convaincants⁵.