Traquer le phishing : pivoter de l'e-mail au DNS jusqu'à l'IP du serveur

Enquêter sur un signalement de phishing est un exercice de pivotement : aucun artefact à lui seul ne raconte toute l'histoire, il faut donc relier des sources indépendantes jusqu'à ce qu'elles pointent vers la même chose. Vous partez de ce que la victime a reçu et remontez jusqu'à l'infrastructure de l'attaquant.

L'e-mail est le point d'entrée. Son nom d'affichage usurpe le support informatique, mais le signal réel est le domaine du lien, acme-verify.example - un sosie de la marque légitime. Le WHOIS corrobore la menace : le domaine a été enregistré il y a seulement quelques jours et se cache derrière un service de confidentialité, deux marques de fabrique d'un domaine de phishing jetable. Le pivot décisif est le DNS : la résolution du nom d'hôte de phishing secure-login.acme-verify.example donne un enregistrement A, et cette IP - 203.0.113.66 - est la machine qui héberge réellement la fausse page de connexion. La config du kit divulguée est une confirmation indépendante : elle liste le panneau d'admin de l'attaquant sur la même IP.

Le tableau OSINT présente chaque source comme une carte que vous ouvrez et lisez. Le renseignement recherché ne se trouve sur aucune carte prise isolément ; il émerge quand le domaine de l'e-mail, l'enregistrement A du DNS et le paste s'alignent tous sur une seule adresse. Cette adresse est ce qu'un défenseur bloque au pare-feu et signale à un service de takedown.

• Soumettre le domaine au lieu de l'IP. La question demande où tourne le site : résolvez le nom d'hôte vers son enregistrement A.
• Faire confiance au nom d'affichage de l'expéditeur. « IT Support » est usurpable ; le domaine du lien est la preuve.
• Lire une source de manière isolée. La réponse vient de la mise en relation de l'hôte de l'e-mail, de l'enregistrement DNS et du paste.
• Ignorer la date d'enregistrement. Un domaine créé il y a quelques jours est un indicateur de phishing fort à noter.

Sur le plan défensif, l'IP et le domaine récupérés alimentent directement la réponse : les bloquer, rechercher les autres utilisateurs ayant cliqué, et soumettre une demande de takedown. Le domaine sosie récemment enregistré est le type d'indicateur que les détections de domaines nouvellement enregistrés et la surveillance de marque repèrent tôt.

• Bloquez le domaine et l'IP malveillants au niveau de la passerelle de messagerie et du pare-feu, et recherchez dans les journaux tout contact antérieur.
• Surveillez l'apparition de domaines sosies récemment enregistrés imitant votre marque.
• Signalez l'infrastructure de phishing à l'hébergeur et à un service de takedown.