Subdomain Takeover : Guide de sécurité DNS 2025 | Prévention

Introduction

Dans le paysage en constante évolution de la cybersécurité, une vulnérabilité continue de hanter les organisations de toutes tailles : la prise de contrôle de sous-domaines. Alors que les équipes de sécurité se concentrent sur la correction des vulnérabilités logicielles et la défense contre des attaques sophistiquées, des ressources cloud abandonnées et des enregistrements DNS oubliés créent des portes dérobées invisibles que les attaquants peuvent exploiter en quelques heures. Les cybercriminels peuvent utiliser un sous-domaine inutilisé pour héberger des sites de phishing, diffuser des malwares et capturer des données sensibles en quelques heures, transformant votre domaine de confiance en arme contre vos propres clients.

Ce guide complet explore la mécanique de la prise de contrôle de sous-domaines, révèle comment les attaquants découvrent et exploitent ces vulnérabilités, et fournit des stratégies concrètes pour protéger votre infrastructure numérique. Que vous soyez professionnel de la sécurité, développeur ou propriétaire d’entreprise, comprendre cette menace est crucial pour maintenir l’intégrité de votre marque et protéger vos utilisateurs.

Qu’est-ce que la prise de contrôle de sous-domaine ?

Les vulnérabilités de prise de contrôle de sous-domaine surviennent lorsqu’un sous-domaine de l’entreprise pointe vers un service tiers qui n’existe plus, permettant à un attaquant de revendiquer ce service et de contrôler ce qui apparaît sur le sous-domaine. Cette erreur de configuration apparemment simple crée un scénario dangereux où les attaquants peuvent servir du contenu malveillant à partir de domaines que les utilisateurs font naturellement confiance.

L’anatomie d’un sous-domaine vulnérable

La vulnérabilité apparaît généralement à travers une séquence d’événements prévisible :

Provisioning du service : votre équipe de développement crée un sous-domaine (par exemple, marketing.votredomaine.com) et le pointe vers un service tiers comme AWS S3, Azure, GitHub Pages ou Heroku.
Configuration DNS : un enregistrement DNS (souvent un CNAME) est créé pour acheminer le trafic du sous-domaine vers le service externe.
Désactivation du service : le projet se termine, la ressource cloud est supprimée, mais l’enregistrement DNS reste en place.
Fenêtre de vulnérabilité : ces enregistrements DNS, aussi appelés “DNS pendants”, offrent une opportunité aux attaquants de revendiquer le même nom de ressource et de contrôler le contenu du sous-domaine.

Pourquoi cela concerne votre entreprise

Les prises de contrôle de sous-domaine présentent des risques de sécurité importants : attaques de phishing – les attaquants peuvent héberger du contenu malveillant sur le sous-domaine, exploitant la confiance associée au domaine principal. Vol de données – des informations sensibles peuvent être volées si les utilisateurs sont trompés pour interagir avec le sous-domaine compromis. Les implications dépassent la sécurité technique pour toucher la réputation de la marque, la confiance des clients et la conformité réglementaire.

Impact réel : exemples récents

La menace de prise de contrôle de sous-domaine n’est pas théorique. Des organisations dans le monde entier continuent d’en être victimes, avec des conséquences dévastatrices.

La campagne SubdoMailing

Récemment, une vaste campagne de fraude publicitaire nommée “SubdoMailing” a utilisé plus de 8 000 domaines légitimes pour envoyer des emails frauduleux à grande échelle. En exploitant des enregistrements DNS pendants, les attaquants ont tiré parti de la réputation de domaines de confiance pour contourner les filtres de sécurité des emails, démontrant comment la prise de contrôle de sous-domaine peut permettre des attaques sophistiquées et à grande échelle.

Implications dans la chaîne d’approvisionnement

Dans cette enquête d’octobre 2024 à janvier 2025, les chercheurs ont recherché des buckets AWS S3 supprimés avec des références existantes pointant vers eux, notamment des buckets utilisés dans la gestion de pipelines, le développement et le déploiement d’applications. Cette recherche a montré comment la prise de contrôle de sous-domaine peut évoluer en attaques de la chaîne d’approvisionnement, compromettant potentiellement les pipelines de développement et les mécanismes de distribution logicielle.

Incidents de haut profil

Les sites gouvernementaux, les entreprises du Fortune 500 et les plateformes populaires ont tous été victimes de prises de contrôle de sous-domaine. Vous avez peut-être vu les actualités concernant la défiguration du site de l’administration Trump comme exemple. Ces incidents soulignent qu’aucune organisation n’est à l’abri de cette vulnérabilité, quelle que soit sa taille ou son niveau de sécurité.

Services et plateformes vulnérables courants

Comprendre quels services sont fréquemment exploités permet de prioriser vos efforts de sécurité. Voici les plateformes les plus ciblées :

Services de stockage cloud

Amazon S3 : Si le développeur supprime le bucket mais oublie de supprimer l’enregistrement DNS correspondant, il introduit involontairement une nouvelle vulnérabilité de prise de contrôle. Un attaquant peut alors créer un nouveau bucket AWS S3 avec un nom identique via la console AWS et prendre le contrôle de tout le contenu.

Azure Blob Storage : Semblable à S3, lorsque les comptes de stockage sont supprimés mais que les enregistrements DNS persistent, les attaquants peuvent recréer des comptes avec des noms correspondants.

Plateforme en tant que service (PaaS)

Heroku : Les applications supprimées laissent derrière elles des enregistrements CNAME pointant vers herokuapp.com qui peuvent être revendiqués.
GitHub Pages : La suppression de dépôts sans supprimer les entrées DNS correspondantes crée des opportunités de prise de contrôle.
Shopify : Les projets e-commerce migrés ou abandonnés laissent souvent des configurations DNS vulnérables.
Fastly et CloudFront : Les configurations CDN supprimées alors que les enregistrements DNS restent actifs.

Plateformes de gestion de contenu et marketing

WordPress.com : Sous-domaines de blogs hébergés désactivés.
HubSpot : Plateformes d’automatisation marketing avec des pages de destination abandonnées.
Zendesk : Sous-domaines de support client pointant vers des centres d’aide désactivés.

Guide étape par étape : Identifier les vulnérabilités de prise de contrôle de sous-domaine

Les professionnels de la sécurité et les hackers éthiques utilisent des approches systématiques pour repérer ces vulnérabilités. Comprendre le processus aide à la fois les défenseurs et les testeurs autorisés.

Étape 1 : Enumeration des sous-domaines

La première étape consiste à découvrir tous les sous-domaines associés à un domaine cible :

Méthodes passives : - Journaux de transparence des certificats : Recherchez crt.sh pour tous les certificats émis pour le domaine cible - Agrégateurs DNS : Utilisez des services comme SecurityTrails, DNSDumpster ou VirusTotal - Reconnaissance via moteurs de recherche : Utilisez des dorks Google (ex. : site:*.exemple.com)

Méthodes actives : - Force brute DNS : Utilisez des outils comme Sublist3r, Amass ou Subfinder pour tester des noms de sous-domaines courants - Tentatives de transfert de zone : Vérifiez si les serveurs DNS autorisent les transferts de zone (mauvaise configuration)

Étape 2 : Analyse des enregistrements DNS

Une fois les sous-domaines identifiés, analysez leurs enregistrements DNS :

# Vérifier les enregistrements CNAME
dig marketing.exemple.com CNAME

# Rechercher des enregistrements NS
dig dev.exemple.com NS

# Examiner les enregistrements A
dig blog.exemple.com A

Recherchez des réponses indiquant des services externes, notamment des messages d’erreur comme “NXDOMAIN” ou des enregistrements pointant vers des plateformes tierces.

Étape 3 : Identification des vulnérabilités

Si le processus de provisioning ou de déprovisionnement (suppression) d’un hôte virtuel n’est pas bien géré, cela peut offrir une opportunité à un attaquant de prendre le contrôle d’un sous-domaine. Les indicateurs clés de vulnérabilité incluent :

CNAME pointant vers des ressources inexistantes : L’enregistrement DNS existe, mais la ressource cible n’existe pas
Messages d’erreur : “404 Not Found,” “NoSuchBucket,” “Il n’y a pas de site GitHub Pages ici”
Noms d’utilisateur non revendiqués : Le service permet de revendiquer le nom exact référencé dans l’enregistrement DNS

Étape 4 : Vérification et tests

Avant de signaler une vulnérabilité, vérifiez qu’elle est exploitable :

Revendiquer la ressource : Sur la plateforme cible, créez un compte ou une ressource correspondant à la cible DNS
Déployer du contenu de test : Placez un identifiant unique et inoffensif (ex. : “Preuve de concept par [Votre nom]”)
Accéder via le sous-domaine : Visitez le sous-domaine vulnérable pour confirmer l’apparition du contenu
Documenter en détail : Faites des captures d’écran du processus, des enregistrements DNS et de la prise de contrôle réussie

Outils pour la détection automatisée

Plusieurs outils spécialisés facilitent la détection de prise de contrôle de sous-domaine :

SubOver : Outil Python vérifiant les vulnérabilités de prise de contrôle sur plusieurs services
subjack : Outil en Go avec de nombreuses signatures de services
Nuclei : Scanner de vulnérabilités extensible avec des templates pour la prise de contrôle
Can I Take Over XYZ : Base de données complète des services vulnérables à la prise de contrôle

Le processus d’exploitation (perspective éthique)

Comprendre comment les attaquants exploitent la prise de contrôle de sous-domaine aide les équipes de sécurité à penser comme des adversaires et à renforcer leurs défenses.

Phase de reconnaissance

Les attaquants commencent par une reconnaissance large, identifiant les organisations avec une empreinte numérique importante et de nombreux sous-domaines. Ils ciblent : - Les entreprises en cours de fusion ou d’acquisition (augmentation des ressources abandonnées) - Les organisations avec des campagnes marketing fréquentes (pages d’atterrissage temporaires) - Les entreprises technologiques avec de nombreux projets de développement

Revendiquer la ressource

Une fois un sous-domaine vulnérable identifié, l’exploitation est souvent simple :

Créer un compte sur la plateforme identifiée (AWS, Azure, GitHub, etc.)
Provisionner une ressource avec le nom exact référencé dans l’enregistrement DNS
Déployer du contenu malveillant conçu pour exploiter la confiance des utilisateurs

Activités malveillantes

Une fois le contrôle établi, les attaquants peuvent :

Opérations de phishing : Les adversaires n’ont pas besoin de forcer leur entrée quand ils peuvent passer par des actifs négligés. Ils créent des pages de connexion convaincantes sur des sous-domaines de confiance pour récolter des identifiants.

Distribution de malware : Servir des kits d’exploitation ou des téléchargements malveillants à partir de domaines de confiance.

Collecte de données : Rassembler cookies, tokens de session et informations soumises par les utilisateurs destinés à des services légitimes.

Dommages à la réputation : Défigurer des sous-domaines avec du contenu embarrassant ou inapproprié pour nuire à la réputation de la marque.

Manipulation SEO : Créer du contenu spam sur des sous-domaines à haute autorité pour manipuler le classement dans les moteurs de recherche.

Stratégie de défense globale

Protéger contre la prise de contrôle de sous-domaine nécessite une approche multicouche combinant contrôles techniques, améliorations de processus et sensibilisation organisationnelle.

Actions immédiates

Réaliser un audit des sous-domaines : Enumérez tous les sous-domaines de votre organisation et documentez leur but et leur propriété.

Inventorier les enregistrements DNS : Créez un inventaire complet des enregistrements DNS, en particulier les CNAME pointant vers des services externes.

Identifier les enregistrements orphelins : Les sous-domaines sont vulnérables lorsque des entrées DNS pointent vers des services désactivés ou des ressources expirées. Par exemple, si votre équipe retire un projet hébergé sur Amazon S3 mais que l’enregistrement DNS pointe toujours vers un bucket inexistant, des attaquants peuvent revendiquer et exploiter ce nom.

Supprimer les références pendantes : Supprimez les enregistrements DNS qui ne servent plus de ressources actives.

Améliorations de processus et de politiques

Établir des procédures de décommissionnement : Créez des processus formels garantissant la suppression des enregistrements DNS avant la suppression des ressources cloud. Faites du nettoyage DNS une étape obligatoire lors de la clôture de projets.

Mettre en œuvre la gestion des changements : Exigez l’approbation et la documentation pour toutes les modifications DNS, avec des revues périodiques pour valider la nécessité des enregistrements.

Désigner des responsables : Attribuez une propriété claire pour chaque sous-domaine et enregistrement DNS, pour assurer la responsabilité de la maintenance.

Revue trimestrielle : Programmez des audits réguliers des enregistrements DNS et des ressources cloud pour identifier et corriger les mauvaises configurations.

Contrôles techniques

Surveillance DNS : Mettez en place des solutions de surveillance continue qui alertent en cas de modifications DNS et identifient les enregistrements pendants.

Scan automatisé : Déployez des outils comme SubOver ou Nuclei à intervalles réguliers pour détecter proactivement les vulnérabilités.

Étiquetage des ressources cloud : Étiquetez toutes les ressources cloud avec des informations de projet et des associations DNS pour un suivi facilité.

Empêcher la réutilisation des ressources : Certains fournisseurs cloud offrent des options pour supprimer définitivement des ressources, empêchant leur réutilisation.

Prudence avec les enregistrements génériques (*) : Bien que les enregistrements DNS génériques (*) puissent atténuer certains risques de prise de contrôle, ils introduisent d’autres préoccupations de sécurité et doivent être évalués avec soin.

Protections des fournisseurs cloud

Les principaux fournisseurs cloud ont mis en place des protections, mais il est crucial de connaître leurs limites :

Azure : Les enregistrements CNAME sont particulièrement vulnérables, mais Azure a mis en œuvre des exigences de vérification de domaine pour certains services, nécessitant une preuve de propriété avant l’ajout de domaines personnalisés.

AWS : Route 53 propose des enregistrements alias qui se suppriment automatiquement lorsque les ressources cibles sont supprimées, bien que les enregistrements CNAME restent vulnérables.

Google Cloud : Les processus de vérification de domaine pour de nombreux services réduisent mais n’éliminent pas totalement les risques de prise de contrôle.

Outils de sécurité et surveillance

Intégrez la détection de prise de contrôle de sous-domaine dans votre flux de sécurité :

Plateformes de surveillance continue : Des services comme SecurityTrails, DNSdumpster ou Detectify surveillent en permanence les changements DNS et vulnérabilités.

Programmes de bug bounty : Incitez des chercheurs en sécurité externes à identifier et signaler les vulnérabilités de prise de contrôle via des plateformes comme HackerOne ou Bugcrowd. Le flux Hacktivity de HackerOne — un flux curaté de rapports divulgués publiquement — a connu plusieurs cas de prise de contrôle.

Intégration SIEM : Configurez votre système de gestion des informations et des événements de sécurité pour alerter en cas de changements DNS et d’activité inhabituelle sur les sous-domaines.

Réagir à une prise de contrôle de sous-domaine

Si vous découvrez une prise de contrôle active, réagissez rapidement :

Réponse immédiate

Vérifier la prise de contrôle : Confirmez que le sous-domaine est effectivement compromis et documentez le contenu malveillant.
Supprimer l’enregistrement DNS : Supprimez immédiatement l’enregistrement DNS pointant vers la ressource compromise. Cela bloque le trafic vers le contenu de l’attaquant.
Informer les parties prenantes : Prévenez les équipes de sécurité, le service juridique et les unités d’affaires concernées.
Évaluer l’impact : Déterminez quel contenu a été servi, depuis combien de temps la prise de contrôle existe et le nombre potentiel de victimes.

Phase d’enquête

Analyser les logs d’accès : Si disponibles, examinez les logs de requêtes DNS pour comprendre l’étendue de l’exposition.
Vérifier la compromission des données : Enquêter pour voir si des données utilisateur ont été collectées ou si des identifiants ont été phishés.
Analyse forensique : Documentez la méthodologie de l’attaque pour prévenir de futures exploitations.

Actions post-incident

Mettre en place des contrôles préventifs : Corrigez la cause racine et appliquez les leçons apprises à toute votre infrastructure.
Notification aux utilisateurs : Si des données utilisateur ont été compromises, respectez les obligations de notification en cas de violation.
Rapport réglementaire : Signalez l’incident aux autorités compétentes conformément aux réglementations applicables.

Bonnes pratiques pour une protection à long terme

Une sécurité durable nécessite d’intégrer la prévention de la prise de contrôle de sous-domaine dans la culture organisationnelle :

Formation de l’équipe de développement

Formez les développeurs aux risques de prise de contrôle de sous-domaine, en insistant sur : - L’importance de l’hygiène DNS - Les procédures de décommissionnement appropriées - La gestion sécurisée des ressources cloud

Infrastructure as Code (IaC)

Gérez les enregistrements DNS via une infrastructure versionnée : - Suivez toutes les modifications DNS dans des dépôts Git - Implémentez une validation automatisée pour détecter les enregistrements pendants - Utilisez Terraform, CloudFormation ou des outils similaires pour la gestion DNS

Sensibilisation à la sécurité

Incluez la prise de contrôle de sous-domaine dans les programmes de sensibilisation à la sécurité : - Expliquez l’impact commercial aux parties prenantes non techniques - Montrez comment de petites négligences peuvent créer de grandes vulnérabilités - Favorisez une culture où la sécurité est la responsabilité de tous

Gestion des fournisseurs

Lors de la collaboration avec des services tiers : - Documentez quels services ont des enregistrements DNS pointant vers eux - Examinez les clauses contractuelles pour les dispositions relatives au décommissionnement des ressources - Établissez des canaux de communication pour notifier les fournisseurs en cas de préoccupations de sécurité

Conclusion

La prise de contrôle de sous-domaine représente une tempête parfaite de l’infrastructure oubliée, de l’adoption rapide du cloud et de processus de décommissionnement inadéquats. Les adversaires n’ont pas besoin de forcer leur entrée quand ils peuvent passer par des actifs négligés. La prise de contrôle de sous-domaine est un exemple parfait de la manière dont les attaquants exploitent des erreurs de configuration apparemment mineures pour obtenir un impact significatif.

La bonne nouvelle, c’est que la prise de contrôle de sous-domaine est entièrement évitable grâce à une gestion rigoureuse des DNS, des procédures de décommissionnement appropriées et une surveillance continue. En mettant en œuvre les stratégies décrites dans ce guide — audits immédiats, améliorations de processus à long terme — les organisations peuvent éliminer cette vulnérabilité de leur surface d’attaque.

Souvenez-vous que la sécurité n’est pas une destination, mais un voyage. Des audits réguliers, une surveillance automatisée et une sensibilisation organisationnelle transforment la prise de contrôle de sous-domaine d’une menace invisible en un risque maîtrisé. Passez à l’action dès aujourd’hui : inventaire de vos sous-domaines, nettoyage des enregistrements DNS pendants, et mise en place de processus pour prévenir les vulnérabilités futures.

La réputation de votre marque et la confiance de vos utilisateurs dépendent de l’infrastructure invisible des enregistrements DNS. Ne laissez pas des configurations oubliées devenir la porte dérobée qui compromet votre investissement en sécurité. Commencez votre audit de sous-domaine dès aujourd’hui, car les attaquants recherchent déjà vos entrées DNS pendantes.

À propos de l’auteur : Cet article a été recherché et rédigé en suivant les meilleures pratiques en cybersécurité en date d’octobre 2025, en s’appuyant sur des sources de référence telles que Microsoft Azure Security, CrowdStrike, OWASP, HackerOne, et des rapports récents de renseignement sur les campagnes de prise de contrôle de sous-domaine.