Introduction
La majorité des internautes font confiance à leur routeur pour acheminer correctement le trafic Internet, sans jamais imaginer que ce pilier du réseau domestique puisse devenir une porte d’entrée pour des cyberattaques sophistiquées. Pourtant, une campagne baptisée « Shadow DNS » révèle l’existence d’un réseau fantôme capable de détourner discrètement les connexions Internet en compromettant des routeurs vulnérables.
Identifiée par les chercheurs en sécurité d’Infoblox, cette menace s’appuie sur des techniques avancées d’évasion et cible principalement les anciens modèles de routeurs, très répandus dans les foyers et les PME, y compris en Afrique.
Un détournement silencieux via les routeurs domestiques
Contrairement aux attaques classiques qui ciblent directement les ordinateurs, cette campagne s’attaque au cœur du réseau : le routeur.
Une fois compromis, l’équipement voit sa configuration DNS modifiée. Au lieu d’utiliser les serveurs DNS légitimes du fournisseur d’accès Internet ou de services connus, toutes les requêtes sont redirigées vers des résolveurs DNS malveillants.
Ces serveurs sont hébergés par Aeza International, une société d’hébergement dite bulletproof, déjà sanctionnée par le gouvernement américain pour son implication présumée dans des activités cybercriminelles.
Une manipulation ciblée du trafic web
L’objectif n’est pas de bloquer totalement Internet — ce qui éveillerait les soupçons — mais de manipuler sélectivement la navigation.
- Les sites populaires comme Google fonctionnent normalement
- Certaines destinations spécifiques déclenchent des chaînes de redirection complexes
- Les victimes sont orientées vers :
- des plateformes publicitaires frauduleuses
- des sites d’escroquerie
- des pages servant potentiellement de vecteurs d’infection
Pour affiner l’attaque, les cybercriminels utilisent un système de distribution de trafic (TDS) basé sur HTTP, capable d’identifier le type d’appareil avant de livrer la charge finale.
Des symptômes trompeurs pour les victimes
Les utilisateurs touchés rapportent des comportements Internet étranges :
- redirections persistantes du navigateur
- impossibilité d’accéder à certains services (ex. Google Sheets)
- lenteurs ou erreurs inexpliquées
Dans la majorité des cas, la victime pense que le problème vient de son ordinateur, alors que la compromission se situe au niveau du routeur, impactant tous les appareils du réseau domestique.
Une technique d’évasion DNS redoutable : EDNS0
L’aspect le plus sophistiqué de cette campagne réside dans sa méthode d’évasion.
Les analystes ont découvert que les serveurs DNS malveillants :
- ne répondent pas aux requêtes DNS standards
- ne livrent leurs réponses malveillantes que lorsque l’extension EDNS0 est désactivée
Or, EDNS0 est une extension utilisée par la quasi-totalité des résolveurs DNS modernes pour :
- gérer de plus grands paquets
- améliorer la sécurité et la performance
Résultat :
Les outils de sécurité et scanners automatisés, qui utilisent EDNS0 par défaut, ne détectent rien.
Les anciens routeurs ou configurations obsolètes, eux, deviennent des cibles parfaites.
Cette astuce a permis au réseau Shadow DNS de rester invisible pendant des années.
Impact et risques pour l’Afrique
En Afrique, où de nombreux foyers et PME utilisent encore :
- des routeurs anciens
- des équipements non mis à jour
- des firmwares abandonnés par les constructeurs
le risque est particulièrement élevé.
Les conséquences potentielles incluent :
- exposition aux escroqueries en ligne
- vol de données personnelles
- compromission de réseaux d’entreprises
- perte de confiance dans les services numériques
Recommandations de sécurité
Pour se protéger contre ce type d’attaque, plusieurs mesures sont essentielles :
- Vérifier la configuration DNS du routeur
- S’assurer qu’aucun serveur DNS non autorisé n’est configuré
- Mettre à jour le firmware du routeur
- Installer les dernières mises à jour de sécurité disponibles
- Remplacer les équipements obsolètes
- Tout routeur ne recevant plus de correctifs représente un risque majeur
- Changer les identifiants par défaut
- Mot de passe administrateur fort et unique
- Surveiller les comportements réseau anormaux
- Redirections inhabituelles
- Accès bloqués à des services légitimes
Conclusion
L’attaque Shadow DNS démontre que le routeur, souvent négligé, est devenu une cible stratégique pour les cybercriminels. En compromettant cet équipement central, les attaquants peuvent manipuler l’ensemble du trafic Internet sans éveiller immédiatement les soupçons.
Dans un contexte africain de transformation numérique accélérée, la sécurisation des infrastructures réseau de base est désormais un enjeu critique, aussi bien pour les particuliers que pour les entreprises.
Source : Cyber Security News
