Détournement de DNS (Tout ce que vous devez savoir)

Bien que le DNS nous simplifie la vie en nous aidant à résoudre directement les demandes de connexion entre les appareils connectés au Web et les sites Web, il n’est pas sans défauts. En fait, les cybercriminels peuvent exploiter les serveurs DNS et les adresses de plusieurs façons pour s’emparer de vos précieuses données.

Dans cet article, nous nous concentrerons sur le détournement de DNS - ce que c’est, comment le tester, et comment l’empêcher.

Qu’est-ce que le DNS ?

DNS signifie Domain Name System (système de nom de domaine), et c’est un système de dénomination qui traduit les adresses IP en noms de sites Web, ce qui rend la communication entre les appareils connectés à Internet et les sites Web en ligne beaucoup plus pratique (essentiellement, vous n’avez pas besoin de saisir l’adresse IP du site dans votre navigateur pour y accéder).

Qu’est-ce que le détournement de DNS ?

Le piratage DNS est une méthode que les cybercriminels utilisent pour interférer avec les tentatives de votre appareil de résoudre une adresse IP pour établir une connexion à une URL (site Web ou page Web).

Pendant qu’un serveur DNS légitime tente de résoudre l’URL pour vous, les cybercriminels profitent de ce délai pour envoyer à votre appareil une fausse adresse IP qui leur appartient réellement.

Parfois, ils envoient directement les fausses adresses, sans qu’aucun véritable serveur DNS ne soit impliqué.

Voici comment fonctionne le piratage de DNS

Les cybercriminels parviennent à faire tout ce qui précède en infectant votre ordinateur/ordinateur portable/appareil mobile avec des logiciels malveillants (normalement par le biais de procédés d’hameçonnage).

Une fois le malware installé sur votre appareil, il remplace le DNS de confiance par défaut afin que votre navigateur contacte le faux serveur DNS des pirates au lieu d’un serveur légitime appartenant à l’ICANN (une organisation responsable de l’enregistrement et de la gestion des domaines, ainsi que de fournir des adresses IP - entre autres choses) lorsqu’il tente de résoudre une URL.

Lorsque votre terminal entre en contact avec le faux serveur DNS alors que votre navigateur résout une URL, le faux serveur en question donnera à votre terminal la mauvaise adresse IP. Par conséquent, vous serez redirigé vers un site Web malveillant ou hameçon.

Parfois, les cybercriminels peuvent aussi pirater votre routeur et modifier ses paramètres DNS. Dans de rares cas (comme le détournement de DNS MEW), ils peuvent même pirater un serveur DNS appartenant à un FAI, et changer les adresses web pour que les utilisateurs soient automatiquement redirigés vers un faux site web quand ils recherchent certains domaines.

Quoi qu’il en soit, l’une des situations suivantes se produira toujours :

• Les sites Web d’hameçonnage imiteront un véritable site Web dans le but de vous amener à révéler des informations sensibles (comme votre numéro de sécurité sociale et vos informations de carte de crédit).
• Le site Web auquel vous aviez l’intention d’accéder à l’origine sera remplacé par un site Web qui l’imite ou non, et qui est truffé de publicités malveillantes - par exemple, certaines annonces peuvent contenir un nombre accru de logiciels nuisibles, de logiciels de rançon, ou espions, et de programmes publicitaires.
• Le site Web vers lequel vous êtes redirigé est conçu pour ressembler à une véritable plate-forme bancaire en ligne bien connue ou à un processeur de paiement (comme PayPal, par exemple) qui est programmé pour gratter toutes les données que vous entrez (essentiellement les mots de passe, noms de compte et autres données).

Quoi qu’il en soit, le résultat final est généralement le même si vous tombez dans le piège de l’hameçonnage - vos comptes bancaires se vident, des frais étranges apparaissent sur vos cartes de crédit et vous pourriez être victime d’un vol d’identité (pire encore, vous pourriez voir vos données personnelles vendues sur le Web profond).

Ne confondez pas le détournement de DNS avec l’empoisonnement de DNS

Comme ces deux types d’attaques fonctionnent un peu de la même façon, il est facile de les confondre.

Voici le point principal : contrairement au détournement de DNS, l’empoisonnement de DNS cible votre cache DNS, et vise à le submerger de fausses valeurs dont le but ultime est de vous rediriger vers des sites malveillants ou d’hameçonnage.

Essentiellement, tandis que les serveurs DNS authentiques tentent de résoudre les URL que vous demandez, les cybercriminels utilisent de faux serveurs DNS pour bombarder votre appareil avec des tonnes de fausses adresses IP afin de l’amener à assimiler une fausse adresse IP avec l’URL que vous avez demandée.

En outre, au lieu de compter sur les logiciels malveillants pour atteindre ses objectifs, l’empoisonnement DNS utilise des méthodes comme l’exemple suivant :

Disons que vous tapez paypal.com. Jusqu’à ce qu’un véritable serveur DNS puisse rechercher l’adresse demandée, votre appareil est bombardé de résolutions multiples par les serveurs DNS des cybercriminels qui prétendent que paypal.com peut être trouvé à différentes adresses IP. Même si le véritable serveur DNS envoie la bonne résolution à votre appareil, il y a des chances qu’il soit submergé et qu’il croie que l’une des fausses adresses IP reçues était la bonne.

Le détournement de DNS par le fournisseur d’accès Internet se produit aussi, mais c’est différent

Bien sûr, ce n’est pas parce qu’il ne nuit pas à votre sécurité en ligne, que le détournement de DNS par votre FAI n’est pas ennuyeux et, pour être honnête, assez intrusif.

Fondamentalement, certains FAI aiment détourner le trafic DNS des utilisateurs pour tenter de réaliser un profit. Ils peuvent le faire puisqu’ils contrôlent le serveur DNS auquel leurs utilisateurs se connectent.

Voici un exemple - vous tapez accidentellement un domaine de site Web qui n’existe pas. Au lieu d’obtenir simplement une page d’erreur vous indiquant que le site n’existe pas ou que le domaine est à vendre, vous êtes redirigé vers un autre site.

Alors, que se passe-t-il réellement ?

Eh bien, votre FAI a probablement un contrat d’affiliation avec ce site Web ou en est propriétaire. En redirigeant les utilisateurs là, il gagne de l’argent en les exposant à des publicités.

Ce n’est pas tout - le détournement de DNS par les FAI peut également être utilisé par les gouvernements lorsqu’ils veulent censurer du contenu en ligne. En gros, chaque fois que vous essayez d’accéder à un site Web qui est sur la liste noire des autorités, vous serez redirigé vers un site Web « approuvé ».

Ce n’est pas « aussi grave » qu’un détournement de DNS classique, mais ce n’est certainement pas mieux.

Comment diagnostiquer un détournement de DNS

Certains signes courants de détournement de DNS, sont les pages Web à chargement lent, les publicités pop-up que vous n’avez jamais vues auparavant sur les pages que vous fréquentez souvent, et les publicités que vous avez l’habitude de voir modifiées pour contenir du contenu malveillant ou indécent.

Cependant, ce ne sont là que des suppositions, et cela ne donne pas de réponse claire.

L’une des meilleures façons de diagnostiquer un détournement de DNS est de faire un ping sur un domaine qui n’existe pas. S’il se résout, il y a de grandes chances que votre trafic DNS ait été piraté.

Vous pouvez généralement le faire via le terminal de commande de votre système d’exploitation, mais il existe des services en ligne qui vous aident à le faire :

• Ping.eu
• Network-Tools.com
• Pingler.com

De plus, il existe des outils que vous pouvez utiliser pour vérifier si vous avez affaire ou non à un piratage de DNS.

WhoIsMyDNS.com en est une bonne illustration. Si vous ne reconnaissez pas le DNS affiché (il devrait appartenir à votre FAI), vous pourriez avoir un problème.

En outre, vous pouvez utiliser F-Secure Router Checker pour voir si vous êtes victime d’un piratage DNS. Mais gardez à l’esprit que cet outil est destiné à être utilisé pour savoir si votre routeur a été exploité par le piratage DNS.

Et, bien sûr, un signe clair de détournement de DNS par votre FAI est le fait que vous êtes redirigé vers des sites Web infestés de publicités lorsque vous accédez à un domaine inexistant, ou que vous êtes redirigé d’un site Web que votre gouvernement considère « problématique » vers un site « approuvé ».

Comment empêcher le piratage de DNS par les FAI - Utilisez un Smart DNS

Bien qu’un Smart DNS ne puisse pas vraiment vous aider en cas de détournement régulier de DNS perpétré par des cybercriminels, il peut vous aider à faire face au détournement de DNS par un FAI qui peut entraver l’accès au contenu en ligne auquel vous souhaitez vous connecter

Si vous n’êtes pas sûr de ce qu’est un Smart DNS, il s’agit d’un service qui remplace votre DNS, attribué par votre FAI (qui contient des informations révélant votre géolocalisation), par une adresse DNS différente qui ne divulgue pas votre position géographique réelle. Le service intercepte également vos demandes de connexion à divers sites Web, et remplace toutes les données de ces demandes qui peuvent divulguer votre géolocalisation par d’autres informations qui pointent vers un emplacement géographique « approuvé ».

Cependant, vous devez savoir que - parfois - le détournement de DNS par un FAI peut interférer avec votre service Smart DNS, ce qui le rend inopérant. Il y a heureusement un moyen de régler ce problème.

Il vous suffit de configurer le Smart DNS de votre routeur (il doit s’agir d’un routeur compatible DD-WRT qui prend en charge les tables IP). Une fois configuré ou si le Smart DNS est déjà configuré sur votre routeur, il vous suffit de diriger les requêtes DNS du port 53 vers le port 54 pour contourner le piratage DNS du FAI.

Pour ce faire, vous devez ajouter les commandes suivantes à votre pare-feu IP :

• iptables -t nat -A PREROUTING -i br0 -p udp –dport 53 -j DNAT –to 8.8.8.8:54

Dans l’exemple ci-dessus, nous avons utilisé l’adresse DNS Google Public (8.8.8.8.8) mais vous pouvez utiliser une adresse DNS SmartyDNS, OpenDNS, Cloudflare ou toute autre adresse DNS de votre choix.

Au cas où cette solution ne vous aiderait pas à empêcher le piratage DNS de votre FAI, votre meilleure option est d’utiliser un VPN (nous l’abordons plus en détail ci-dessous au numéro 5).

Comment empêcher le piratage de DNS

Selon nos études, voici ce que vous pouvez faire de mieux pour réduire vos risques d’être exposé au piratage DNS :

1. Évitez les tentatives d’hameçonnage

Une très bonne façon de prévenir le détournement de DNS est d’éviter les tentatives d’hameçonnage, car c’est l’une des principales façons dont les cybercriminels infectent votre / vos appareil(s) avec des logiciels malveillants.

Voici quelques conseils utiles :

• Ne répondez pas aux courriels qui prétendent provenir de votre processeur de paiement ou de votre banque et qui vous demandent d’envoyer des informations sensibles (mots de passe, numéros de carte de crédit, numéros de sécurité sociale, etc.). Si vous avez des doutes, communiquez avec votre fournisseur de services de paiement ou votre banque pour savoir ce qui se passe.
• De même, ne répondez pas aux courriels non sollicités - en particulier aux courriels vous demandant le genre d’information que nous avons mentionné précédemment. La meilleure façon de traiter ces messages est de les supprimer et de bloquer si possible l’adresse électronique qui les a envoyés.
• Si vous recevez un courriel que vous pensez être une tentative d’hameçonnage, utilisez Google dans les parties du courriel entre guillemets. Si vous obtenez des résultats, ce sont probablement d’autres personnes qui ont été ciblées par cette tentative d’hameçonnage et qui s’en plaignent.
• N’ouvrez aucune pièce jointe qui pourrait vous être envoyée dans un courriel non sollicité ou douteux.
• Si l’adresse dans le formulaire d’en-tête d’un courriel semble suspecte, ne répondez pas à ce courriel, et supprimez-le simplement.
• Ne cliquez pas sur des liens qui semblent douteux et qui ne semblent pas officiels (ils sont raccourcis, ils commencent par « http » au lieu de « https, » etc.).
• Si vous êtes redirigé vers un site d’hameçonnage, partez immédiatement. Si ce n’est pas possible, tapez un faux nom d’utilisateur et mot de passe.
• N’interagissez pas avec des publicités qui semblent malveillantes (en particulier celles que vous n’avez jamais vues auparavant, et celles qui contiennent du contenu pornographique ou similaire).
• Utilisez des extensions anti-hameçonnage sur votre navigateur si elles sont prises en charge. Stanford Web Security Research dispose d’une belle sélection d’outils que vous pouvez utiliser, et nous vous recommandons également d’essayer uMatrix (une extension qui empêche les scripts de se charger sans votre accord sur une page Web).
• Assurez-vous que l’authentification à deux facteurs est activée pour tous vos comptes (ceux qui la prennent en charge, au moins).
• N’utilisez pas de réseaux WiFi non sécurisés - de tels réseaux peuvent être facilement repris ou exploités par des cybercriminels.

2. Utilisez un logiciel antivirus/anti-malware fiable

Même si vous faites de votre mieux pour éviter les logiciels malveillants, c’est toujours une bonne idée d’utiliser un logiciel anti-virus/anti-malware comme plan de sauvegarde au cas où. De plus, certains logiciels malveillants peuvent s’introduire dans votre appareil sans que vous ne vous en rendiez compte jusqu’à ce qu’il soit trop tard.

Voici quelques-uns des meilleurs fournisseurs de logiciels antivirus/anti-malware sur le marché :

• Malwarebytes
• Bitdefender
• AVG Antivirus
• Kaspersky Antivirus
• Avast Antivirus

En passant, sachez qu’il n’y a pratiquement aucune différence entre un logiciel anti-malware et un logiciel antivirus. Les deux font la même chose - un virus est, en fait, un logiciel malveillant qui se réplique de lui-même.

3. Gardez votre système d’exploitation et vos logiciels de sécurité à jour

Étant donné que les logiciels malveillants sont créés de façon presque constante (en 2017, de nouveaux malware apparaissent toutes les 4.2 secondes), il est important de se tenir au courant des mises à jour du système d’exploitation et des logiciels de sécurité. Pourquoi ? Parce que ce sont ces mises à jour (en particulier les mises à jour de sécurité) qui mettent à niveau le système d’exploitation/logiciel de sécurité pour s’assurer qu’il peut faire face aux nouvelles menaces.

Nous vous recommandons de configurer le système d’exploitation/logiciel de sécurité pour une mise à jour automatique régulière. Sinon, vous devez vérifier activement les mises à jour au moins une fois par semaine ou tous les deux jours.

Oh, et vous devez également mettre à jour le firmware de votre routeur car les pirates peuvent également exploiter les failles de sécurité des routeurs. En parlant de ça …

4. Protégez votre routeur

Comme les pirates peuvent exploiter les failles de sécurité du routeur pour vous exposer au piratage DNS, il est préférable de changer le nom d’utilisateur et le mot de passe par défaut de votre routeur. Notez que nous ne faisons pas référence à votre mot de passe réseau WiFi, mais au mot de passe/nom d’utilisateur qui vous donne accès aux paramètres administratifs de votre routeur.

Habituellement, vous n’avez qu’à taper une adresse IP par défaut (comme 192.168.0.1 ou 192.168.1.1.1, bien qu’elle puisse varier selon le fabricant) dans votre navigateur, et utiliser le mot de passe et le nom d’utilisateur qui sont écrits sur votre routeur pour avoir accès. Une fois que vous y êtes, remplacez le nom d’utilisateur et le mot de passe.

Rendez-les difficiles à deviner et notez-les dans un bloc-notes ou un agenda, ou utilisez un gestionnaire de mots de passe (comme KeePass / KeePass X ou Bitwarden) pour garder une trace de tout (ou faites les deux).

N’oubliez pas qu’il est très facile pour un pirate informatique de trouver le mot de passe et le nom d’utilisateur du fabricant de votre routeur sur Internet. C’est pourquoi il est si important de les changer dès que possible.

5. Utilisez un VPN (Réseau Privé Virtuel)

Un VPN est un service que vous pouvez utiliser pour sécuriser votre trafic en ligne sur Internet en le cryptant. En outre, il peut également vous aider à cacher votre identité en ligne et à contourner les géoblocages en masquant votre réelle adresse IP (ce qui peut en fait vous aider à contourner le détournement de DNS par votre FAI).

Mais en quoi cela vous aide-t-il à empêcher les détournements de DNS ?

Eh bien, voici les principaux moyens :

• Comme un VPN crypte votre trafic, les cybercriminels (ou votre FAI) ne peuvent pas voir ce que vous faites sur Internet (quels sites Web vous accédez, quels fichiers vous téléchargez, ce que vous recherchez, etc.) Un VPN crypte également votre trafic DNS, ce qui rend plus difficile pour les pirates de vous cibler avec des redirections gênantes.
• Les fournisseurs VPN utilisent généralement leurs propres serveurs DNS qui finissent par remplacer les serveurs DNS de votre FAI lorsque vous utilisez le service. Les fournisseurs VPN s’assurent de maintenir des recherches DNS rapides et précises afin d’éviter le risque que votre appareil soit exposé à des tentatives de piratage DNS.
• Un VPN peut être configuré sur votre routeur pour sécuriser son trafic, ainsi que pour protéger tout autre appareil dans votre maison qui se connecte à Internet via ce routeur. Ajoutez à cela les conseils que nous avons donnés ci-dessus concernant la sécurité du routeur et vous risquez beaucoup moins d’être victime d’un piratage DNS.

Gardez à l’esprit qu’un VPN ne vous protégera pas contre les logiciels malveillants, il est donc primordial que vous utilisiez un VPN à côté d’un logiciel anti-malware/anti-virus fiable pour une protection supplémentaire.

Conclusion

Le piratage de DNS est une méthode utilisée par les cybercriminels pour commettre des vols d’identité et récupérer/voler des informations sensibles (comme les coordonnées bancaires, les identifiants de connexion, les numéros de carte de crédit, etc.) Il s’agit généralement d’infecter votre appareil avec des logiciels malveillants qui modifient ensuite votre DNS. Les pirates peuvent également exploiter les failles de sécurité de votre routeur pour modifier son DNS ou cibler directement les serveurs DNS des FAI.

Le résultat final est le même - votre appareil et votre navigateur sont piégés pour accéder à des sites Web malveillants ou d’hameçonnage lorsque vous essayez de vous connecter à des sites légitimes à la place.

La meilleure façon de vous protéger contre une tentative de piratage DNS est de sécuriser correctement votre routeur, d’éviter l’hameçonnage de sites Web et de courriels, d’utiliser un logiciel anti-malware/anti-virus, d’installer régulièrement des mises à jour de sécurité et d’utiliser un service VPN.