Une étude de l'ICANN révèle des noms de domaine liés à des domaines malveillants
en clair
Le personnel technique de l'ICANN Société pour l'attribution des noms de domaine et des numéros sur Internet Organisation à but non lucratif qui coordonne le DNS mondial et les politiques des gTLD. Définition complète du terme ICANN a étudié des nom de domaine Nom lisible sur Internet, composé de libellés séparés par des points. Définition complète du terme nom de domaine signalés pour arnaques, phishing Usurpation de l'identité d'un tiers de confiance pour voler des données, souvent avec des domaines ressemblants. Définition complète du terme phishing ou logiciel malveillant Logiciel nuisible, souvent diffusé ou contrôlé au moyen de noms de domaine. Définition complète du terme logiciel malveillant, en examinant des indices publics comme le bureau d'enregistrement, les serveurs utilisés et les dates. Plus de la moitié des domaines malveillants étaient liés à d'autres domaines enregistrés à peu près au même moment. Mais la méthode a surtout trouvé ces liens après coup, une fois les domaines déjà sur des liste de blocage Liste publiée de domaines ou d'adresses IP à bloquer pour spam, hameçonnage ou logiciels malveillants. Définition complète du terme liste de blocage, car les données des registre La base de données et le système centraux d'un domaine de premier niveau ou, par extension, l'organisation qui les gère. Définition complète du terme registre arrivaient souvent trop lentement.
L'Office of the Chief Technology Officer de l'ICANN a publié le 6 octobre un rapport daté du 18 septembre et rédigé par quatre membres du personnel, examinant si les noms de domaine signalés comme malveillants sont liés à d'autres domaines. Ce travail alimente les travaux de politique en cours au sein de la GNSO Organisation de soutien aux noms génériques Organe de l'ICANN qui élabore les politiques des domaines génériques de premier niveau. Définition complète du terme GNSO sur la lutte contre l'utilisation malveillante du DNS Usage nuisible des domaines, que les contrats de l'ICANN définissent comme cinq menaces précises. Définition complète du terme utilisation malveillante du DNS, dont le groupe de travail Équipe de bénévoles chargée, par une charte, d'étudier une question de politique et de formuler des recommandations. Définition complète du terme groupe de travail a proposé que les bureaux d'enregistrement recherchent des domaines liés après confirmation d'un cas d'abus, en utilisant les données clients et de compte. Le rapport de l'ICANN s'est au contraire appuyé uniquement sur des signaux techniques publics : bureau d'enregistrement, serveur de noms Serveur qui contient les enregistrements DNS d'un domaine et répond aux requêtes. Définition complète du terme serveur de noms, horodatage de l'enregistrement de domaine L'obtention du droit d'utiliser un nom de domaine pendant une durée déterminée. Définition complète du terme enregistrement de domaine et adresses IP protocole Internet Règles de base d'Internet pour l'envoi de données, avec une adresse numérique pour chaque appareil connecté. Définition complète du terme IP, sans aucune information sur le titulaire Personne ou organisation qui détient l'enregistrement d'un nom de domaine. Définition complète du terme titulaire ou le paiement.
Les chercheurs sont partis de nouveaux noms de domaine gTLD domaine générique de premier niveau Domaine de premier niveau qui n'est pas lié à un pays, exploité sous contrat avec l'ICANN. Définition complète du terme gTLD apparus sur des listes de blocage telles que celles de Spamhaus Une organisation à but non lucratif qui publie des listes de blocage très utilisées de domaines et d'adresses IP abusifs. Définition complète du terme Spamhaus ou PhishTank d'ici fin septembre 2025, période où environ 4 000 domaines étaient ajoutés chaque jour. Ils ont appliqué trois méthodes : deux recherchaient des domaines enregistrés avec le même bureau d'enregistrement et les mêmes serveurs de noms dans une courte fenêtre de temps, la plus stricte exigeant un enregistrement dans les cinq secondes ; une troisième recherchait des domaines partageant la même combinaison d'adresse IP et de serveur de noms le même jour, filtrée ensuite pour des noms de forme similaire.
Au moins un domaine lié a été trouvé pour 56,4 % des domaines signalés dans l'ensemble, un taux atteignant 57 % pour les cas de phishing et 43 % pour les logiciels malveillants et botnet Réseau d'ordinateurs infectés contrôlé par un attaquant. Définition complète du terme botnet combinés, bien que ces échantillons soient restreints. La méthode n'a identifié que 4,6 % des domaines liés avant leur apparition sur des listes de blocage, un écart attribué au fait que les registres ne transmettaient alors les données d'enregistrement à l'ICANN que chaque semaine. Un modèle suggère qu'une transmission des données dans les 30 minutes pourrait porter la détection précoce à 10 % ; le dernier accord de registre impose désormais une transmission au moins quotidienne.
La méthode la plus stricte a trouvé en moyenne 2,32 domaines supplémentaires par domaine signalé, bien qu'une grande partie provienne d'une seule campagne générant des noms algorithmiques de six caractères sous une seule extension, avec des lots dépassant 6 000 domaines ; son exclusion réduisait fortement les chiffres.