FOFA

Définition

FOFA (Fingerprint of All) est un moteur de recherche de cyberespace développé par la société chinoise Baimaohui, similaire à Shodan et Censys, qui indexe les services et appareils connectés à Internet en analysant leurs bannières, certificats TLS, headers HTTP, et autres caractéristiques réseau. Il est particulièrement utilisé par des chercheurs en sécurité asiatiques et pour des recherches ciblant des infrastructures spécifiques. FOFA permet des recherches avancées avec des opérateurs de filtrage puissants : recherche par pays (country=CN), par type d'appareil (device_type=router), par produit (product=Cobalt Strike), par certificat TLS (cert.subject.cn=*), et par titre de page (title='Panel Login'). Sa base de données indexe plusieurs milliards d'actifs réseau. Dans le contexte offensif, FOFA est utilisé pour la reconnaissance passive : identifier des cibles spécifiques (panneaux d'administration, interfaces industrielles SCADA, caméras, routeurs vulnérables), trouver des instances d'une technologie spécifique dans un pays ou un secteur (app='Apache Tomcat' && country=FR), et identifier des infrastructures C2 (par leurs caractéristiques TLS ou leurs bannières). La communauté de threat intelligence utilise FOFA pour traquer les infrastructures des acteurs malveillants : les serveurs Cobalt Strike, Sliver, et Metasploit ont des fingerprints reconnaissables (certificats auto-signés avec des valeurs par défaut, ports spécifiques, réponses HTTP caractéristiques) qui peuvent être recherchés sur FOFA pour cartographier les opérations d'un acteur. FOFA est accessible via une interface web et une API REST. Des outils comme fofa-py (client Python officiel) et des intégrations dans des frameworks d'automatisation de la reconnaissance permettent des workflows de reconnaissance automatisés.