Sous-domaines détournés : un enregistrement DNS oublié suffit
par detektd team
En février 2025, le journaliste Brian Krebs remarque que des dizaines de liens vers des vidéos pornographiques apparaissent sous un sous-domaine de cdc.gov, le site des Centers for Disease Control américains. Il prévient Infoblox, dont l'équipe de renseignement sur les menaces remonte le fil. Le résultat, publié le 20 mai 2025, décrit un acteur baptisé Hazy Hawk, actif depuis au moins décembre 2023, qui n'a jamais piraté le CDC : il a simplement réservé une ressource cloud que l'agence avait abandonnée.
Le mécanisme
Pour publier un site sur un service cloud sous son propre nom de domaine, on crée un enregistrement CNAME : shop.example.com pointe vers example-shop.azurewebsites.net, ou vers un bucket S3. Le jour où le projet s'arrête, l'équipe supprime la ressource chez le fournisseur, mais personne ne pense à retirer l'enregistrement DNS, souvent géré par une autre équipe. Le CNAME pointe alors vers un nom libre, que n'importe quel client du même fournisseur peut réserver.
$ dig +short CNAME shop.example.com example-shop.s3-website.eu-west-3.amazonaws.com. $ curl -s http://shop.example.com | grep -o NoSuchBucket NoSuchBucket # the bucket no longer exists: anyone can create it
Hazy Hawk, en chiffres et en noms
Infoblox liste les services cloud exploités : Amazon S3, EC2 et Elastic Beanstalk, Azure, Akamai, Cloudflare CDN, Bunny CDN, GitHub et Netlify. Parmi les domaines touchés figurent cdc.gov, alabama.gov, health.gov.au, berkeley.edu, stanford.edu, ucl.ac.uk, deloitte.com, ey.com, pwc.com, honeywell.com ou ted.com. Le site gouvernemental des Jeux olympiques français a lui aussi été détourné en novembre 2024. Les chercheurs estiment que l'acteur dispose d'un accès à des services commerciaux de DNS passif, qui conservent l'historique des résolutions et permettent de repérer les CNAME orphelins à grande échelle.
Sur chaque sous-domaine, Hazy Hawk publie des centaines d'URL qui profitent de la réputation et du référencement du domaine parent : fausses vidéos, faux jeux, contenus piratés. Les visiteurs passent par des systèmes de distribution de trafic qui les envoient vers des arnaques au support technique, de faux antivirus, ou leur demandent d'autoriser les notifications pour leur pousser des escroqueries ensuite. Selon Infoblox, ces programmes de « monétisation par notifications » reversent 70 à 90 % des revenus à leurs affiliés. Le schéma ne s'est pas arrêté : en avril 2026, d'après Aviatrix, 34 universités américaines ont vu des sous-domaines pointant vers des buckets S3 supprimés servir du contenu explicite, indexé par les moteurs de recherche sous leur domaine .edu.
universités américaines visées en avril 2026 par des sous-domaines détournés via des buckets S3 supprimés (Aviatrix, juin 2026)
Pire qu'une page de spam
Hazy Hawk se sert des sous-domaines pour du référencement et des arnaques. Mais un attaquant qui contrôle un sous-domaine de votre application dispose de bien plus : il fait partie de votre site aux yeux du navigateur et de vos propres règles de confiance.
- Cookies : un cookie de session posé avec Domain=.example.com est envoyé à tous les sous-domaines, y compris celui de l'attaquant, qui peut aussi en écrire pour écraser les vôtres.
- CORS et CSP : une règle qui fait confiance à *.example.com autorise désormais les requêtes ou les scripts de l'attaquant.
- OAuth : une URL de redirection enregistrée sur ce sous-domaine permet de recevoir des codes d'autorisation.
- HTTPS : l'attaquant contrôle le contenu servi, il peut donc obtenir un certificat valide par validation HTTP. Le cadenas s'affiche normalement.
S'en protéger
- Inversez l'ordre de suppression : retirez d'abord l'enregistrement DNS, ensuite la ressource cloud. Infoblox recommande un processus qui déclenche automatiquement le retrait du CNAME à chaque arrêt de ressource.
- Inventoriez vos sous-domaines, y compris ceux que plus rien ne lie : les journaux Certificate Transparency (crt.sh) listent tous les noms pour lesquels un certificat public a été émis.
- Réduisez la confiance accordée aux sous-domaines : cookies de session en __Host- (sans attribut Domain), listes CORS et CSP explicites plutôt que des jokers.
- Activez la vérification de propriété du domaine quand le fournisseur la propose (enregistrement TXT de vérification sur Azure App Service, par exemple) : elle empêche un tiers de rattacher votre nom à sa ressource.
Ce que detektd vérifie
detektd résout les sous-domaines référencés par votre application et, lors d'un scan actif, ceux que les journaux Certificate Transparency associent à votre domaine. Pour chacun, il suit le CNAME et reconnaît la page « ressource inexistante » de 31 fournisseurs (S3, Elastic Beanstalk, Azure, GitHub Pages, Heroku, Netlify, Vercel, Shopify...). Il ne signale un sous-domaine qu'avec cette preuve, pour éviter les faux positifs. Les hôtes de scripts tiers qui n'existent plus sont vérifiés de la même façon.
WordPress : 11 334 failles en 2025, et 91 % viennent des plugins
Le rapport annuel de Patchstack recense 42 % de failles en plus qu'en 2024, presque toutes dans les plugins et les thèmes. 46 % n'avaient aucun correctif au moment de leur publication, et les plus graves sont exploitées en masse en cinq heures médianes. Anatomie de la faille la plus exploitée, et comment s'en protéger.
ChainDrop : un ver npm a publié 444 paquets piégés avec des signatures valides
Le 4 août, un ver auto-propagateur a infecté plus de 400 paquets npm téléchargés environ 2 milliards de fois par mois, en passant par le propre pipeline CI de leur mainteneur. Les signatures étaient valides. C'est justement le problème.