Fast Flux : L’ancienne astuce qui alimente toujours les cyberattaques modernes

Les cybercriminels n’ont pas toujours besoin de nouvelles techniques. Parfois, ils trouvent simplement de nouvelles façons d’utiliser les anciens. Depuis près de vingt ans, le « flux rapide » aide les attaquants à maintenir en ligne les sites de phishing, les infrastructures de malwares et les systèmes de commandement et de contrôle. Au lieu de lier un domaine malveillant à un seul serveur fixe, les attaquants font transiter le trafic via un pool de périphériques compromis en constante évolution.

Cela peut inclure un routeur chez vous, une passerelle de bureau, un modem, un ordinateur ou un autre appareil connecté à Internet dont le propriétaire peut ignorer qu’il a été infecté. Chaque appareil agit brièvement comme un relais, transmettant le trafic vers l’infrastructure réelle de l’attaquant avant qu’un autre appareil ne le remplace. Si les défenseurs bloquent une adresse, le domaine pointe simplement ailleurs.

L’infrastructure à flux rapide continue de bouger, ce qui rend le suivi, le blocage et la démantèlement plus difficiles.

Un flux rapide se manifeste dans les cyberattaques actuelles

En juin 2026, des chercheurs ont rapporté que le Silent Ransom Group utilisait un réseau de flux rapide pour dissimuler les infrastructures soutenant ses attaques dans les secteurs juridique, financier et professionnel.

Les nœuds étaient répartis dans 18 pays et 22 fournisseurs d’accès à Internet. Ils ont fait tourner les enregistrements DNS de deux domaines liés au groupe, rendant les systèmes derrière ces domaines plus difficiles à localiser et à bloquer.

Le groupe, également connu sous les noms de Luna Moth, Chatty Spider et UNC3753, y accéde grâce à l’ingénierie sociale. Les attaquants se font passer pour du personnel informatique, appellent des employés, lancent des sessions de partage d’écran ou installent des outils d’accès à distance.

Le Le FBI a également averti que les membres du groupe pourraient entrer dans des bureaux et utiliser des dispositifs de stockage pour voler des données ou installer des logiciels malveillants. Une fois à l’intérieur du réseau, le groupe se déplace latéralement, vole des données sensibles et menace de les publier.

Conçu pour résister à l’arrêt

En avril 2025, la NSA, la CISA, le FBI et des partenaires internationaux ont averti que le flux rapide représentait une menace sérieuse pour la sécurité nationale. Des groupes criminels et soutenus par l’État l’utilisent pour dissimuler les systèmes derrière le phishing, les logiciels malveillants, l’espionnage et les activités de commandement et contrôle.

Les fournisseurs d’hébergement à épreuve de balles vendent également des infrastructures aux cybercriminels et ignorent les tentatives de la fermer. Fast Flux les aide à maintenir en ligne des services malveillants en transférant le trafic à travers un réseau de systèmes en évolution.

Maintenir les cyberattaques en vie

Le flux rapide a perduré car il résout un problème fondamental de l’attaquant : comment rester connecté lorsque les défenseurs commencent à bloquer votre infrastructure.

« C’est une couche de résilience », a déclaré Rachna Srivastava, responsable marketing produit senior chez Illumio. « C’est une attaque à longue queue où elle continuera à appeler sa maison des mois plus tard. »

Cette résilience a rendu le flux rapide utile dans les domaines du phishing, des malwares, des ransomwares, des infrastructures de cybercriminalité et de l’espionnage lié à l’État.

Un flux rapide au fil des années

• 2007 — Rock Phish
  Rock Phish ciblait les clients bancaires avec de faux sites web. Les sites ont volé les identifiants de connexion. Un flux rapide les a déplacés entre des ordinateurs infectés, ce qui les a aidés à rester en ligne.

• 2007–2008 — Ver de tempête
  Storm Worm s’est propagé à travers des courriels spam avec de fausses informations et des cartes de vœux. Ces liens ont installé des malwares qui ont attiré les victimes dans l’un des plus grands botnets de son époque. Un flux rapide faisait tourner les adresses IP des sites plus vite que les listes de blocage ne pouvaient suivre.

• 2009–2016 — Avalanche
  Avalanche a soutenu les malwares, le phishing, le spam et le vol de banques dans plus de 180 pays. Un flux rapide cachait le réseau derrière des systèmes changeants. Sa fermeture a impliqué 30 pays et plus de 800 000 domaines.

• 2020–2022 — Nefilim
  Nefilim a ciblé de grandes entreprises. Il volait des données, verrouillait des fichiers et exigeait un paiement. Un flux rapide a permis de dissimuler les systèmes derrière les attaques.

• 2021–2022 — Hive
  Hive a touché plus de 1 500 victimes dans plus de 80 pays. Les cibles comprenaient les hôpitaux, les écoles, les banques et les infrastructures critiques. Fast Flux a permis de garder des parties de son réseau cachées.

• 2022-2023 — Gamaredon
  Gamaredon utilisait le spearphishing et des logiciels malveillants pour cibler les organisations ukrainiennes, tandis que le flux DNS rapide a permis de dissimuler et de protéger son infrastructure de commandement et de contrôle en faisant tourner rapidement les adresses IP.

• 2024 — Réseau criminel non attribué
  Les chercheurs ont trouvé 193 domaines liés à 2 960 adresses IP. Le réseau supportait les malwares, les sites web nuisibles et le trafic de commandes et contrôles.

• 2025 — Acteurs criminels et liés à l’État
  Les agences américaines et alliées ont averti que des groupes criminels et soutenus par l’État utilisaient le flux rapide. Il a permis de masquer les systèmes de phishing, de malwares, d’espionnage et de commandement et de contrôle.

• 2026 — Groupe Silencieux de Rançon
  Silent Ransom Group cible des cabinets d’avocats et des entreprises dans la finance, la santé, l’assurance et l’hôtellerie. Les attaquants se sont fait passer pour du personnel informatique, ont volé des données et exigé un paiement. Un flux rapide cachait les systèmes derrière les attaques.

Comment repérer le flux rapide

Le flux rapide est difficile à arrêter car l’infrastructure évolue sans cesse. Chaque adresse IP peut ressembler à un nouvel événement, mais la véritable menace réside dans le schéma derrière ces changements.

Srivastava a averti que les défenseurs ne peuvent pas enquêter sur ce schéma à la main.

« Si tu commences à faire ça manuellement, tu seras dépassé », dit-elle.

Il existe plusieurs signes pouvant révéler une activité de flux rapide :

• Valeurs DNS très courtes pour le temps de vie
• Requêtes répétées dans le même domaine
• Un ensemble croissant d’adresses IP non liées
• Répartition géographique large
•  Changements fréquents de serveur de noms
• Comportement inadéquat de proxy ou de certificat

Aucun de ces signaux ne se révèle fluide rapidement à lui seul. Mais ensemble, ils peuvent montrer qu’un domaine agit d’une manière qui ne correspond pas aux schémas de trafic habituels.

Pourquoi la visibilité est importante

Les équipes de sécurité doivent connecter l’activité DNS aux flux réseau, terminaux, processus et charges de travail. Ils doivent savoir quel processus a demandé le domaine, quelles adresses IP sont revenues, quel système a ouvert la connexion, et si ce trafic correspond à la carte normale de dépendances de la charge de travail.

Sans ce contexte, les équipes se retrouvent à courir après des indicateurs éphémères. Grâce à cela, ils peuvent voir quelle charge de travail communique avec une infrastructure suspecte et ce que cette charge peut atteindre ensuite.

Une fois un système compromis, la technique peut aider l’attaquant à continuer d’appeler chez lui, voler des données, distribuer des malwares ou rechercher une autre victime. Il peut également se fondre avec le trafic de navigation ordinaire, permettant à la connexion de rester active bien après la première intrusion.

Comment la segmentation l’arrête

La segmentation n’empêche pas un domaine malveillant de tourner entre des adresses IP externes. Il contient le risque dans l’environnement. Les équipes peuvent isoler une charge de travail affectée, restreindre le trafic est-ouest et bloquer les chemins sans but commercial.

Ils peuvent également protéger des actifs critiques tels que les contrôleurs de domaine, les plans de gestion, les applications réglementées et d’autres systèmes sensibles. Un point de terminaison infecté ne devrait pas avoir de route ouverte vers ces ressources.

Les équipes peuvent utiliser des règles de permis granulaires, des politiques de refus par défaut et une quarantaine rapide pour contrôler le rayon de l’explosion. Ils peuvent ensuite utiliser la carte de dépendances pour renforcer la politique autour des charges de travail les plus importantes en premier.

L’objectif n’est pas de prédire chaque adresse IP que l’attaquant utilisera ensuite. Il s’agit de s’assurer qu’un système compromis ne puisse pas transformer une connexion en un accès plus large.

Comme l’a dit Srivastava : « La segmentation contrôlera quoi que cette infrastructure C2 à flux rapide fasse ensuite. »

Le flux rapide maintient les attaquants connectés. Illumio les empêche de se propager.

Planifiez une démonstration de confinement de la faille pour voir comment Illumio offre aux équipes de sécurité la visibilité pour détecter des comportements suspects de charge de travail et la segmentation pour empêcher les mouvements latéraux avant qu’ils ne deviennent une brèche.