Qu’est-ce que le flux rapide ?

Le flux rapide est une technique utilisée par les cybercriminels pour dissimuler une infrastructure malveillante en modifiant rapidement les adresses IP associées à un nom de domaine. En alternant continuellement entre différentes adresses IP, les attaquants peuvent rendre les sites web malveillants, les serveurs de commande et de contrôle, les pages de phishing et d’autres infrastructures plus difficiles à identifier et à bloquer.

Le flux rapide est couramment associé aux botnets, où un grand nombre d’appareils compromis peuvent être utilisés comme proxies temporaires ou hôtes. Ces changements constants aident les attaquants à garder les services malveillants disponibles même lorsque des adresses IP individuelles sont découvertes ou mises hors ligne.

Points clés

• Le flux rapide est une technique de cyberattaque qui modifie rapidement les adresses IP associées à un nom de domaine, rendant l’infrastructure malveillante plus difficile à détecter, bloquer ou désactiver.
• Les réseaux de flux rapide s’appuient souvent sur des botnets et des appareils compromis pour faire tourner en continu les adresses IP et supporter des activités malveillantes telles que le phishing, la distribution de malwares et les communications de commandement et de contrôle.
• Le flux simple et le flux double sont deux techniques courantes de flux rapide. Le flux simple fait pivoter les adresses IP, tandis que le flux double modifie à la fois les adresses IP et les serveurs de noms DNS pour rendre l’infrastructure malveillante plus résiliente.
• Détecter et se défendre contre le flux rapide nécessite plusieurs contrôles de sécurité. Les organisations devraient combiner la surveillance DNS, le renseignement sur les menaces, la visibilité réseau et isoler les incidents afin d’identifier les activités suspectes et de limiter le mouvement latéral en cas de compromission des systèmes.

Comment fonctionne le flux rapide ?

Normalement, un nom de domaine est associé à une ou un nombre relativement restreint d’adresses IP via le Système de Noms de Domaine (DNS). Un flux rapide change cette relation.

Les attaquants configurent des domaines malveillants afin que leurs enregistrements DNS changent fréquemment. Un domaine peut résoudre vers un groupe d’adresses IP puis, quelques minutes plus tard, résoudre vers un groupe totalement différent.

Beaucoup de ces adresses IP peuvent appartenir à des appareils compromis au sein d’un botnet. Ces dispositifs agissent comme des intermédiaires entre les victimes et l’infrastructure sous-jacente des attaquants.

Cela rend plus difficile pour les défenseurs de bloquer simplement une adresse IP et de perturber l’opération malveillante.

Qu’est-ce qu’un réseau de flux rapide ?

Un réseau de flux rapide est l’ensemble des systèmes et infrastructures utilisés pour faire tourner rapidement les adresses IP associées à un domaine malveillant.

Ces réseaux reposent souvent sur des ordinateurs, serveurs, routeurs, appareils Internet des objets (IdO) ou autres les endpoints contrôlés via un botnet.

Comme le réseau peut contenir de nombreux appareils différents répartis à travers des emplacements géographiques et des réseaux, les attaquants peuvent continuellement remplacer les infrastructures détectées ou bloquées.

Qu’est-ce que le flux simple ?

Le flux unique est une forme de flux rapide dans laquelle les adresses IP associées à un domaine malveillant changent fréquemment.

Par exemple, un domaine de phishing peut se résoudre à plusieurs appareils compromis. Peu après, le même domaine pouvait se résoudre vers un groupe d’adresses IP complètement différent.

Le domaine reste cohérent tandis que l’infrastructure qui le sous-tend change continuellement.

Qu’est-ce que le double flux ?

Le double flux ajoute une couche supplémentaire de complexité.

En plus de modifier fréquemment les adresses IP associées à un domaine, les attaquants font également tourner les serveurs de noms DNS responsables de la résolution de ce domaine.

Cela signifie que les hôtes malveillants ainsi que l’infrastructure DNS qui les supporte peuvent changer rapidement, rendant l’opération plus résiliente et plus difficile à perturber.

Pourquoi les attaquants utilisent-ils le flux rapide ?

Les attaquants utilisent principalement le flux rapide pour rendre l’infrastructure malveillante plus résiliente et difficile à bloquer.

Un flux rapide peut aider les attaquants :

• Dissimulez l’emplacement de leur infrastructure principale
• Gardez les domaines malveillants disponibles plus longtemps
• Esquive le blocage basé sur l’IP
• Rendre l’infrastructure plus difficile à analyser
• Soutenir les campagnes de phishing et de malware
• Maintenir les communications de commandement et de contrôle
• Remplacer rapidement les infrastructures compromises

Au lieu de s’appuyer sur un seul serveur que les défenseurs peuvent identifier et désactiver, les attaquants répartissent l’activité sur de nombreux systèmes.

Comment Fast Flux est-il utilisé dans les cyberattaques ?

Fast Flux peut supporter plusieurs types d’activités malveillantes.

Les campagnes de phishing peuvent utiliser Fast Flux pour maintenir les pages de connexion frauduleuses disponibles même lorsque les systèmes d’hébergement individuels sont bloqués. Les opérateurs de logiciels malveillants peuvent l’utiliser pour maintenir la communication entre les appareils infectés et l’infrastructure de commandement et de contrôle.

Les botnets peuvent également utiliser des réseaux de flux rapides pour proxy le trafic via des appareils compromis, obscurcissant ainsi la localisation réelle des serveurs de l’attaquant.

Cette infrastructure en constante évolution peut rendre la détection, l’enquête et la mise à l’état de contrôle plus difficiles.

Comment détecter un flux rapide ?

L’activité de flux rapide peut souvent être identifiée en examinant le DNS et le comportement réseau au fil du temps.

Les indicateurs potentiels peuvent inclure :

• Domaines résolvant un nombre anormalement élevé d’adresses IP
• Les adresses IP changent très fréquemment
• Valeurs DNS de temps de vie (TTL) très courtes
• Adresses IP réparties sur de nombreux réseaux ou emplacements géographiques
• Changements fréquents de serveurs de noms autoritaires
• Connexions à l’infrastructure associées à des botnets connus ou à des activités malveillantes

Aucun indicateur unique ne prouve nécessairement que le flux rapide est utilisé. Les équipes de sécurité analysent généralement plusieurs signaux et comportements pour distinguer une activité de flux rapide malveillante de l’infrastructure légitime.

Le flux rapide est-il toujours malveillant ?

Non. Modifier rapidement les enregistrements DNS ou répartir le trafic sur de nombreuses adresses IP n’est pas automatiquement malveillant.

Les services légitimes tels que les réseaux de diffusion de contenu (CDN), les plateformes cloud et les systèmes d’équilibrage de charge peuvent utiliser une infrastructure dynamique pouvant ressembler à certaines caractéristiques de flux rapide.

La différence réside principalement dans l’intention et le comportement. Les équipes de sécurité ont besoin de contexte supplémentaire, de données de réputation, de schémas DNS et d’activité réseau pour déterminer si une infrastructure en évolution rapide est associée à une activité malveillante.

Quelle est la différence entre les algorithmes de flux rapide et les algorithmes de génération de domaine ?

Les algorithmes de flux rapide et de génération de domaines (DGA) sont deux techniques que les attaquants peuvent utiliser pour rendre les infrastructures malveillantes plus difficiles à perturber, mais elles fonctionnent différemment.

Le flux rapide modifie fréquemment les adresses IP associées à un domaine. Une DGA génère un grand nombre de noms de domaine que des malwares peuvent utiliser pour localiser l’infrastructure de commandement et de contrôle.

Les attaquants peuvent utiliser ces techniques séparément ou ensemble pour créer une infrastructure plus résiliente face à la détection et aux efforts de retrait.

Comment les organisations peuvent-elles se protéger contre les flux rapides ?

Les organisations peuvent réduire les risques liés à un flux rapide en combinant la surveillance DNS, l’intelligence sur les menaces, la visibilité réseau, l’analyse comportementale et les contrôles de sécurité.

Les équipes de sécurité doivent surveiller les activités DNS inhabituelles et enquêter sur les connexions avec des infrastructures suspectes ou en rapide évolution. Bloquer des domaines et adresses IP malveillants connus peut aider, mais le flux rapide montre pourquoi s’appuyer exclusivement sur des listes de blocage statiques peut ne pas suffire.

Les organisations doivent également supposer qu’une activité malveillante finira par contourner les contrôles préventifs et se préparer à limiter ce que les attaquants peuvent accéder si un système est compromis.

Comment le flux rapide se rapporte-t-il à isoler les incidents ?

Fast Flux aide les attaquants à rendre leur infrastructure externe plus difficile à identifier et à perturber. Mais une fois qu’un attaquant compromet une charge de travail ou un point final, les organisations font face à un autre défi : empêcher cette compromission de se propager.

Si un malware communique avec succès avec une infrastructure malveillante, la segmentation et les contrôles isoler les incidents peuvent aider à restreindre la capacité du système compromis à atteindre d’autres charges de travail et ressources critiques.

En limitant la connectivité et les mouvement latéral inutiles, les organisations peuvent réduire l’impact potentiel d’une attaque réussie même lorsque l’infrastructure malveillante évolue constamment.

Arrêter les attaques de se propager avec Illumio

Un flux rapide peut aider les attaquants à échapper à la détection et à maintenir l’infrastructure malveillante en ligne. Mais lorsqu’une menace atteint votre environnement, la priorité se déplace à l’empêcher de se propager.

Illumio aide les organisations à contenir les violations en limitant la connectivité inutile et en empêchant les attaquants de se déplacer latéralement vers des systèmes et des données critiques.

Voyez comment Illumio peut vous aider à contenir les violations et à stopper les mouvements latéraux.

Découvrez → isoler les incidents d’Illumio

‍

Questions fréquemment posées

Qu’est-ce que le flux rapide en termes simples ?

Le flux rapide est une technique qui modifie rapidement les adresses IP connectées à un domaine, rendant l’identification des infrastructures malveillantes plus difficiles à identifier, bloquer ou désactiver.

Le flux rapide est-il associé aux botnets ?

Oui. Les réseaux de flux rapide utilisent généralement un grand nombre d’appareils compromis contrôlés via des botnets pour fournir des adresses IP en constante évolution et un trafic proxy.

Quelle est la différence entre un flux simple et un flux double ?

Le flux unique modifie fréquemment les adresses IP associées à un domaine. Le double flux modifie à la fois les adresses IP et les serveurs de noms DNS associés à l’infrastructure malveillante.

Pourquoi le flux rapide est-il difficile à bloquer ?

Une infrastructure de flux rapide peut changer rapidement. Le blocage d’une adresse IP malveillante peut avoir un impact limité car le domaine peut commencer à diriger le trafic vers d’autres systèmes compromis.

Les services légitimes peuvent-ils ressembler à un flux rapide ?

Oui. Les CDN, services cloud et autres infrastructures distribuées peuvent présenter un comportement DNS similaire. Les équipes de sécurité ont besoin de contexte supplémentaire pour déterminer si l’activité est malveillante.

‍