Hijacking : 751 noms de domaines détournés chez Gandi

Hijacking : Efficacité et transparence chez le registar Gandi. L’entreprise, via un partenaire, a du faire face au détournement de 751 noms de domaines. Mission de ce hijacking, diffuser des codes malveillants par l’intermédiaire des noms de domaine ainsi pris en main par le pirate.

Vendredi 7 juillet, un incident de type hijacking est survenu chez un partenaire technique du fournisseur de noms de domaine Gandi. Un partenaire qui gère 31 extensions. Suite à une connexion non autorisée chez ce partenaire, l’attaquant a utilisé des identifiants Gandi pour se connecter à cette interface. Le pirate informatique a pu détourner 751 noms de domaines et renvoyé les visiteurs sur un espace numérique, basé au Gabon, ayant pour mission de lancer des tentatives d’infiltration dans les ordinateurs des visiteurs. Le but étant de lancer des exploits via des navigateurs web (IE, Chrome, Firefox, …) non mis à jour. Le pirate a utilisé Rig Exploit Kit et Neutrino Bot lors de son opération.

En moins de trois heures, le problème était endigué et corrigé

« Dès l’identification de cet incident, nos équipes techniques et celles de notre partenaire ont activement collaboré pour résoudre cet incident de sécurité et identifier l’origine des modifications frauduleuses. » indique Gandi. Plusieurs prefixes (.ch, .es, .li) ont été impactés, 94 gérés par switch.ch, par exemple.

Une belle frayeur, comme l’explique le SCRT Suisse : « Nous avons remarqué que notre site Web, ainsi que d’autres services que nous utilisons en interne n’étaient plus accessibles. Nous avons immédiatement essayé de comprendre pourquoi […] Nous avons eu un petit moment d’angoisse où nous nous demandions si nous n’avions pas oublié de renouveler notre nom de domaine. » Si vous souhaitez vérifier l’apparition d’une connexion entre l’un de vos systèmes et le serveur Web malveillant, vous pouvez rechercher les connexions aux adresses IP suivantes: 46.183.219.205, 46.183.219.206, 46.183.219.227.

Rapport d'incident https://t.co/KPveoycDpd @zataz @Protocole_ZATAZ

— emixam (@emixamnorac) July 10, 2017

Heureusement, le pirate n’a pas configuré son attaque de manière à recevoir les courriels envoyés aux adresses web perturbées.  Ce type d’attaque pourrait être utilisé pour lire les mails entrants alors que les serveurs de noms sont piégés. Les modifications frauduleuses sont restées en place entre maximum 8 et 11 heures.

Gandi gère plus de 2,1 millions de noms de domaine sur 730 extensions avec plus de 200 registres. Gandi est techniquement connectés à plus de 150 plateformes techniques de registres ou de partenaires. « Ces identifiants de connexion n’ont a priori pas été volés suite à une intrusion sur nos systèmes, termine Gandi, et nous suspectons fortement qu’ils aient été récupérés à l’occasion d’une connexion non-sécurisée sur l’interface de notre partenaire« . La plateforme d’administration qui a permis cette modification permet la connexion en HTTP.