A Longitudinal Study of Recently Observed Malicious Domains: Characteristics, Infrastructure, and Abuse Patterns
Cet article présente une analyse longitudinale de 1,52 million de domaines malveillants observés sur VirusTotal entre janvier et mai 2026, caractérisant leur infrastructure et leurs modèles d'abus à travers huit dimensions pour révéler des tendances telles que des domaines créés par des attaquants à courte durée de vie, un recours massif à des bureaux d'enregistrement spécifiques et à Cloudflare pour le fronting, l'enregistrement massif généralisé et l'usurpation d'identité de marque significative.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme une ville immense et bouillonnante. Dans cette ville, il y a des millions de « maisons » (sites web) où les gens vivent, font leurs courses et travaillent. Mais il existe aussi un côté sombre : un monde criminel où des escrocs construisent de fausses maisons pour piéger les gens, voler leur courrier ou cacher leurs activités illégales.
Ce document est comme un rapport de surveillance de cinq mois (de janvier à mai 2026) sur un groupe spécifique de ces maisons criminelles. Les chercheurs ont examiné environ 1,52 million d'adresses suspectes signalées par une sentinelle de sécurité mondiale appelée VirusTotal. Ils voulaient comprendre comment ces acteurs malveillants construisent leurs opérations, où ils se cachent et comment ils piègent les gens.
Voici le détail de leurs conclusions, en utilisant des analogies simples :
1. Les deux types de maisons criminelles
Les chercheurs ont découvert que presque 9 maisons sur 10 étaient de nouvelles constructions bâties spécifiquement par les criminels.
- Créées par l'attaquant (89,3 %) : Ce sont comme des « tentes éphémères » ou des « cabanes » construites du jour au lendemain dans un terrain vague juste pour escroquer les gens. Elles sont conçues pour être utilisées pendant une courte période, puis abandonnées.
- Compromises (10,7 %) : Ce sont comme des vieilles maisons familiales légitimes dans lesquelles les criminels se sont introduits. La maison appartenait à une famille sympathique depuis des années, mais les criminels se sont infiltrés, ont changé les serrures et ont commencé à l'utiliser pour des affaires illégales.
2. Le mode de vie « coup d'éclat »
Les criminels sont incroyablement rapides.
- La vitesse : Pour les nouvelles « cabanes », le délai médian entre la construction de la maison et son utilisation pour un crime n'est que de 60 jours.
- L'urgence : Certains sont si rapides qu'ils sont pris en flagrant délit de méfait seulement un jour après avoir été construits. C'est comme si un criminel construisait une fausse banque, ouvrait les portes, la braquait et s'enfuyait avant même que la police n'ait fini de rédiger le permis de construire. Cela laisse très peu de temps aux défenseurs pour les arrêter.
3. Les « mauvais quartiers » (Registraires et TLD)
Tout comme certains quartiers du monde réel ont un taux de criminalité plus élevé, l'internet possède des « propriétaires » et des « noms de rues » spécifiques où les criminels aiment opérer.
- Les propriétaires : Les chercheurs ont découvert que seulement 10 registraires de domaines spécifiques (entreprises qui vendent des adresses de sites web) sont responsables de 60 % de toutes les mauvaises maisons. Si vous étiez un urbaniste, vous concentreriez vos efforts de lutte contre la criminalité sur ces propriétaires spécifiques.
- Les noms de rues : De la même manière, quelques fins spécifiques de noms de sites web (comme
.com,.topet.xyz) sont utilisées pour 68 % des crimes. Les criminels choisissent les noms de rues les moins chers et les plus faciles à obtenir pour installer leurs pièges.
4. Se cacher à la vue de tous (Le problème Cloudflare)
C'est l'une des découvertes les plus intéressantes. Vous pourriez penser que les criminels se cachent dans des ruelles sombres et louches, mais ils se cachent en réalité dans les immeubles de bureaux les plus réputés et les plus technologiques de la ville.
- L'effet Cloudflare : Les 10 meilleures « adresses » (IP) où ces maisons malveillantes sont hébergées appartiennent à Cloudflare, une entreprise massive qui fournit la sécurité et la rapidité à de nombreux sites web légitimes.
- L'analogie : C'est comme un groupe de voleurs qui loue une chambre dans un hôtel de luxe 5 étoiles parce que la sécurité de l'hôtel est si bonne que la police vérifie rarement l'intérieur. Les criminels utilisent ces services de confiance pour masquer leur véritable emplacement, ce qui rend leur base réelle très difficile à trouver.
5. La « chaîne de montage » de mauvaises adresses
Le document a trouvé des preuves de production de masse.
- Les lots : En une seule journée, les criminels ont enregistré des milliers de domaines d'un coup. Par exemple, un jour donné, une seule entreprise a enregistré 2 168 nouvelles mauvaises adresses.
- Le modèle : Ces adresses ressemblent souvent à du charabia aléatoire (ex :
10jfr.top). C'est comme une usine qui produit des milliers de fausses cartes d'identité en une heure. Cela prouve qu'ils utilisent des scripts automatisés pour construire leurs flottes criminelles instantanément.
6. Voler des noms célèbres (Usurpation de marque)
Les criminels adorent porter des déguisements.
- Le déguisement : Ils créent de faux sites web qui ressemblent à des marques célèbres pour tromper les gens.
- Les cibles principales : Les « marques » les plus usurpées étaient WhatsApp, Logitech et Google.
- Le but : Si vous voyez un faux site WhatsApp, vous pourriez penser que c'est le vrai et saisir votre mot de passe, que les criminels voleront ensuite. Ils ont également ciblé des plateformes d'échange de cryptomonnaies et des sites de jeux d'argent, probablement pour voler de l'argent ou des informations de connexion.
7. L'« embouteillage » du mal
Toutes les mauvaises maisons ne sont pas également dangereuses.
- La loi de puissance : Les chercheurs ont examiné le nombre de visites sur ces mauvais sites. Ils ont découvert qu'un très petit nombre de mauvaises maisons ont été visitées des millions de fois, tandis que la plupart ont été visitées très peu de fois.
- La conclusion : Si la police (ou les défenseurs de l'internet) pouvait fermer ce tout petit groupe de mauvaises maisons à fort trafic, elle stopperait la grande majorité des dommages. C'est comme dégager un seul gros embouteillage plutôt que d'essayer de réparer chaque nid-de-poule sur chaque rue secondaire.
Résumé
En bref, ce document nous indique que le monde criminel de l'internet est rapide, automatisé et concentré.
- Ils construisent des maisons de toutes pièces rapidement et les utilisent brièvement.
- Ils comptent sur quelques « propriétaires » et « noms de rues » spécifiques.
- Ils se cachent à l'intérieur des bâtiments les plus fiables et les plus sécurisés (Cloudflare) pour éviter la détection.
- Ils produisent massivement de fausses identités pour voler les marques célèbres.
Les chercheurs suggèrent que pour lutter contre cela, nous devons nous concentrer sur ces propriétaires spécifiques, arrêter les scripts de production de masse et donner la priorité à la fermeture des sites malveillants à fort trafic. Ils ont également partagé leur liste d'adresses malveillantes afin que d'autres chercheurs puissent les étudier davantage.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.