Oui, c’est tout à fait la lecture que j’en ai eu : qu’ils enfoncent des portes grandes ouvertes ! " /> ‘Fin là, ce ne sont même plus des portes, c’est carrément un portail. " />

La seule information nouvelle à en tirer, c’est qu’il y aurait eu une attaque par on ne sait qui, si ce n’est peut-être des Iraniens, ciblant on ne sait quelles grosses sociétés, pour récupérer, par on ne sait quelle méthode, leurs accès à on ne sait quelle interface d’administration, gérant on ne sait quels domaines, afin d’intercepter on ne sait quelles données, et impactant donc on ne sait quelles victimes finales, mais sans doute des gouvernements du Moyen-Orient comme l’origine pourrait venir de l’Iran.



Ça fait quand même beaucoup de « on ne séquelles sait quel(le)(s) » pour un seul article qui ne détail au final que des méthodes identifiées pour effectuer une interception de données via une zone DNS compromise, mais déjà largement connues et documentées dans le domaine. Et encore, l’article n’étant pas clair là-dessus, l’ont-elles été précisément dans le contexte de cette attaque ?



Ce passage de l’article résume à lui tout seul sa vacuité… « Il est difficile d’identifier un unique vecteur d’intrusion pour chaque changement d’enregistrement DNS, et il est possible que ce ou ces acteurs utilisent plusieurs techniques pour faire une infiltration préalable dans chacune des cibles précédemment décrites. » Autrement dit, on peut difficilement savoir ce qu’il s’est passé du début à la fin, mais on fait malgré tout un article, pour donner l’illusion qu’on sait sans savoir.



Bon au moins, votre brève a le mérite de rendre intelligible aux profanes ces techniques d’attaques DNS transparentes de type homme du milieu… " /> À la différence de l’article de FireEye qui est surtout compréhensible par ceux ayant un minimum de connaissances dans le domaine, mais qui n’apprendront strictement rien au final. " />

Cofibib a écrit :



Entre les étapes 1 et 4 il faut en plus que le site attaqué ne se rende pas compte de l’interruption de service pour ses utilisateurs.

Sur de gros site ça semble quand même compliqué (pour peu qu’ils soient monitoré correctement), mais en effet c’est jouable pour attaquer de petites structures.



Non, au contraire, puisque tout le trafic revient vers la destination au travers d’un load balancer qui a justement pour fonction de le disséminer sur différentes adresses IP.



On pourrait très bien imaginer par d’exemple d’exploiter un botnet mondial pour essayer idéalement de faire correspondre autant que possible la géolocalisation de l’IP de la victime initiale avec une des nombreuses adresses disponibles dans le botnet. Et plus le botnet est gros, moins il y a de risque de réutiliser pour différentes victimes une même adresse et donc que le serveur usurpé puisse identifier la moindre anomalie.



L’aspect le plus compliqué est vraiment la toute première étape, avoir la main sur la zone DNS, et dans la présente attaque, il ne semble pas être question d’une faille dans des systèmes informatisés à ce niveau, mais comme bien souvent simplement d’ingénierie sociale. Tout le reste, ça s’automatise très bien pour qui y voit son intérêt, y compris la phase d’hameçonnage une fois le scénario réalisé.



C’est ça qui peut prendre le plus de temps, identifier les victimes, apprendre de leurs habitudes, cibler leurs faiblesses, pour compiler tout ça dans un bon scénario et attendre qu’une ou des victimes mordent à l’hameçon et laissent transiter les données à récupérer. Surtout quand les victimes ont été formées pour suivre des procédures justement dans le but de réduire ces risques, mais nul n’est infaillible.