Sinkholing Forensics

Définition

Le sinkholing est une technique de threat intelligence et de remediation qui consiste a prendre le controle des domaines C2 (Command and Control) d'un malware pour rediriger les connexions des machines infectees vers un serveur controlee par les defenseurs plutot que par les attaquants. Cette technique fournit de precieuses informations forensiques sur l'etendue d'une infection et permet d'identifier les machines compromises au niveau d'une organisation ou d'une population de victimes. Le sinkholing peut etre effectue a plusieurs niveaux. Au niveau DNS, les serveurs DNS qui recoivent des requetes pour un domaine C2 connu retournent l'adresse IP du sinkhole plutot que la vraie IP C2. Ceci peut etre fait par les fournisseurs DNS public (CIRCL DNS, Quad9 security DNS) ou par les organisations qui controlent leurs propres serveurs DNS resolvers (pi-hole en interne, politique de DNS-over-HTTPS filtree). Au niveau BGP, les operateurs de reseaux (ISPs) peuvent annoncer les prefixes IP des C2 vers leurs propres serveurs sinkhole. Forensiquement, un sinkhole capture des donnees precieuses : les IPs sources de toutes les machines infectees qui contactent le C2 sinkhole, les timestamps de chaque tentative de contact (revele le rythme de beaconing), et les parametres des communications (User-Agent, headers, payload chiffre dans les requetes). Ces donnees permettent de cartographier precisement l'etendue d'une infection au niveau mondial ou au niveau d'une organisation. Pour les organisations victimes, la notification via le CERT-FR (si le sinkhole est operer par un CERT ou des chercheurs) peut indiquer quelles IPs internes ont contacte le sinkhole. Cette notification permet d'identifier immediatement toutes les machines compromises sur le reseau, meme celles qui n'avaient pas ete detectees par les outils de securite internes. La liste des machines qui contactent le sinkhole est un inventaire des compromissions actives. Les CERTs nationaux (CERT-FR, CISA, BSI) operent souvent des sinkholes pour les botnets majeurs et peuvent partager les listes de victimes avec les organisations concernees via des canaux de confiance.