Une nouvelle méthode d'attaque virtuellement invisible permet aux pirates de contrôler les pages visitées par les internautes.

Une nouvelle méthode d'attaque virtuellement invisible permet aux pirates de contrôler les pages visitées par les internautes.

Les serveurs DNS ouverts et récursifs («Open Recursive») peuvent être utilisés par les cybercriminels pour rediriger les internautes vers des sites d'hameçonnage, expliquent des chercheurs de Google et de l'institut de technologie de Georgie.

Ces derniers, doivent d'ailleurs publier une étude sur ce sujet d'ici le mois de février. Les serveurs DNS dits «Open Recursive», qui d'une certaine façon fonctionnent en boucle, sont utilisés pour indiquer aux ordinateurs comment se retrouver sur le réseau Internet.

Pour cela, ils traduisent une URL classique par exemple celle du site yahoo.com en une adresse IP numérique.

Seulement les criminels de la Toile commencent à utiliser ces serveurs avec de nouvelles méthodes d'hameçonnage. Selon les chercheurs à l'origine de cette découverte, il existe 17 millions de serveurs ouverts et récursifs, et dans la plupart des cas ces serveurs fonctionnent bien.

Malheureusement, contrairement aux autres serveurs DNS, les systèmes ouverts et récursifs peuvent répondre à une requête de DNS «lookup» depuis n'importe quel poste connecté à la Toile. Une fonctionnalité très intéressante du point de vue des pirates.

Pour l'institut technologique de Georgie, 0,4% des serveurs DNS ouverts et récursifs, soit 68 000 machines, fonctionnent déjà de façon malveillante. Et 2% de ces mêmes serveurs génèrent des erreurs.

Comment l'attaque fonctionne-t-elle au niveau de l'utilisateur ? Dans les faits, une victime va visiter un site Web infecté par un code malveillant ou ouvrir une pièce jointe à un courriel.

Une fois le poste cible infecté, les attaquants vont simplement modifier une clé du registre de l'utilisateur pour indiquer au poste cible comment se rendre automatiquement sur le serveur des criminels où toutes les informations DNS de l'utilisateur sont collectées.

Si l'antivirus de l'utilisateur ne détecte rien, alors le pirate peut prendre le contrôle total du poste. Pour de nombreux experts en sécurité, il s'agit de l'attaque ultime d'hameçonnage, et elle a été baptisée le «Phishing 2.0». Et comme elle se déroule au niveau du DNS, les solutions traditionnelles sont inefficaces.