Comment récupérer les données de l'historique WHOIS d'un domaine après expurgation ?

Les informations WHOIS sont indispensables à tout chercheur en cybersécurité. Il s'agit d'une ressource essentielle pour retrouver les propriétaires d'enregistrements pour diverses raisons allant du règlement de litiges relatifs aux marques et au cybersquattage à la configuration de sites web. Grâce aux enregistrements WHOIS, un analyste de la sécurité ou un administrateur de site web peut rapidement entrer en contact avec le propriétaire d'un enregistrement pour résoudre ou déposer un litige, transférer facilement un domaine ou mettre en place un certificat SSL (Secure Sockets Layer) valide.

Avec la mise en œuvre du règlement général sur la protection des données (GDPR), l'Internet Corporation for Assigned Names and Numbers (ICANN) a toutefois été contrainte de modifier ses politiques en matière de disponibilité des données WHOIS. La mise en œuvre par l'ICANN de la spécification temporaire pour les données d'enregistrement des domaines génériques de premier niveau (gTLD) en 2018 a entraîné la suppression de millions d'enregistrements WHOIS du domaine public.

En vertu de cette nouvelle règle, les bureaux d'enregistrement et les registres doivent explicitement indiquer que les données relatives à la propriété d'un domaine ont été "expurgées pour des raisons de confidentialité", à moins, bien sûr, que le propriétaire du domaine ne consente à partager publiquement les informations relatives à son titulaire. Cette politique s'applique à toutes les données accessibles via les protocoles WHOIS ou RDAP (Registration Data Access Protocol).

Depuis, les recherches de WHOIS sont devenues plus compliquées. Ce qui n'était autrefois qu'une activité de quelques minutes nécessite aujourd'hui des heures de recherche sur internet et le passage d'une application ou d'une base de données à l'autre. Heureusement, il existe d'autres moyens, énumérés ci-dessous, par lesquels les analystes peuvent obtenir ces données essentielles sur les domaines, comme un outil de recherche de l'historique du WHOIS.

Quelles sont les alternatives ?

Cependant, le RGPD ne signifie pas nécessairement la fin des informations WHOIS accessibles au public. La spécification temporaire permet toujours aux utilisateurs d'obtenir les données WHOIS des opérateurs de registres pour des raisons légitimes en déposant une demande. Les demandeurs doivent être en mesure de prouver que le domaine a fait l'objet de cybersquattage, de fraude ou d'autres activités illégales. Bien que la procédure de demande comporte son lot de difficultés (par exemple, le manque de normalisation des étapes de dépôt), il n'y a aucune raison pour que les chercheurs en sécurité ne s'y intéressent pas.

Pour les demandes urgentes, comme dans le cas d'une enquête criminelle, les utilisateurs peuvent demander une citation à comparaître. Les citations à comparaître peuvent coûter plus cher aux utilisateurs et prendre plus de temps, mais c'est la voie la plus rapide pour les parties requérantes qui se trouvent dans une impasse avec leurs plateformes WHOIS ou qui n'ont reçu aucune réponse de la part des bureaux d'enregistrement. Certains bureaux d'enregistrement peuvent parfois ne pas répondre à de telles demandes par crainte d'enfreindre le RGPD.

Un autre moyen pour les chercheurs en cybersécurité d'obtenir l'enregistrement d'un domaine est de le demander aux contacts abusifs. Les bureaux d'enregistrement ont dû mettre en place un courriel de contact d'abus pour un domaine en conformité avec le RGPD.

Comment la recherche de l'historique du WHOIS peut-elle vous aider ?

Les chercheurs de domaines peuvent s'appuyer sur la recherche d'historique WHOIS lorsqu'ils rencontrent des détails WHOIS protégés, en particulier pour les domaines en infraction. En récupérant les détails du dernier registrant connu d'un domaine, il est possible d'en savoir plus sur l'utilisation et les affiliations passées d'un domaine.

La recherche d'historique WHOIS fait partie de notre suite d'outils de surveillance et de recherche de domaines, Domain Research Suite (DRS). Elle permet aux utilisateurs de trouver les enregistrements historiques d'un domaine. Ceux-ci sont classés par date de mise à jour du domaine et proviennent d'une base de données complète qui comprend plus de 15,6 milliards de domaines que notre société explore depuis plus de dix ans. C'est pourquoi l'outil fournit des résultats précis et complets pour les domaines.

Vous trouverez ci-dessous quelques cas d'utilisation courante de l'outil.

• Lutte contre la fraude : La recherche dans l'historique du WHOIS peut être utilisée pour recueillir des preuves sur les domaines frauduleux ou les contrefacteurs dans le cadre de litiges sur les marques, de poursuites judiciaires et d'enquêtes sur la cybercriminalité.

• Traquer les attaquants : L'outil peut trouver des associations entre des domaines suspects et des réseaux cybercriminels connus.

• Investissement dans les domaines : Les propriétaires de domaines peuvent l'utiliser pour déterminer si un domaine est un bon investissement et s'il n'est pas lié à des campagnes malveillantes.

Étapes de la récupération des données de l'historique du domaine

• Ouvrez un compte sur la page d'accueil de Domain Research Suite. Chaque nouveau compte est accompagné de 500 crédits DRS gratuits.
• Entrez un nom de domaine dans le tableau de bord de recherche de l'historique WHOIS.
• L'outil affiche tous les enregistrements historiques du WHOIS, y compris les dates de création et d'expiration, les propriétaires et bureaux d'enregistrement actuels et précédents, le statut, les coordonnées, le nom et les serveurs WHOIS. Les résultats se répartissent en deux sections :
  • La première section indique le nombre d'enregistrements WHOIS du domaine, le nombre de changements détectés, les bureaux d'enregistrement, les enregistrements contenant des données publiques sur la propriété et le nombre total de jours pendant lesquels le domaine a été actif.
  • La deuxième section comprend une liste des enregistrements par date et développe les résultats pour visualiser chaque enregistrement.
• Les utilisateurs peuvent télécharger les résultats sur leur ordinateur sous la forme d'un fichier PDF. S'ils préfèrent utiliser un outil en ligne de commande similaire à la commande "whois" originale pour trouver les enregistrements requis, ce service peut également être utilisé avec notre outil en ligne de commande "bestwhois" après l'abonnement.

Vous aimerez peut-être aussi : Tutoriel de l'outil Web de recherche de qui est l'histoire

Démonstration de recherche dans l'historique WHOIS pour récupérer les détails non expurgés de l'enregistrement d'une attaque IoC

Il n'est pas rare que des chercheurs en cybersécurité tombent sur des domaines identifiés comme des indicateurs de compromission (IoC) dont les enregistrements WHOIS ont été masqués par le GDPR. Dans ce cas, ils peuvent suivre ce guide étape par étape pour poursuivre leur enquête.

1. Allez sur le site Web de recherche de l'historique du WHOIS https://drs.whoisxmlapi.com/whois-history. Connectez-vous.

2. Saisissez le nom de domaine que vous souhaitez examiner dans le champ de saisie Recherche, puis cliquez sur Recherche. Pour cette démonstration, nous avons utilisé cabiria[.]biz - un IoC Lorec53 connu.

3. Faites défiler l'écran vers le bas pour voir combien d'enregistrements historiques WHOIS le domaine a. Plus le nombre est élevé, plus vous avez de chances de trouver le propriétaire du domaine.

4. Ouvrez l'enregistrement WHOIS actuel du domaine. Dans ce cas, il s'agit de l'enregistrement daté du 29 mars 2023.

5. Faites défiler l'écran vers le bas pour voir si les coordonnées du titulaire de l'enregistrement sont publiques. Dans ce cas, elles ont été masquées par le RGPD.

6. Ouvrez tous les enregistrements historiques WHOIS disponibles jusqu'à ce que vous en trouviez un dont les coordonnées du titulaire n'ont pas été expurgées. Dans le cas présent, il s'agit de l'enregistrement daté du 12 mai 2018.

7. En faisant défiler l'enregistrement, vous obtiendrez le nom du propriétaire du domaine, son adresse électronique, son numéro de téléphone et d'autres informations. Nous les avons expurgés ici pour des raisons de confidentialité. Si vous êtes un chercheur en sécurité, vous pouvez utiliser ces informations pour trouver d'autres artefacts de Lorec53.

Le RGPD a sans aucun doute eu un impact sur les utilisateurs qui ont besoin d'accéder aux données WHOIS à des fins de recherche. Malgré ces obstacles, WHOIS History Search permet aux chercheurs en cybersécurité, aux domainers, aux professionnels du marketing et aux développeurs de sites web d'accéder à l'historique WHOIS d'un domaine et, ainsi, de poursuivre leurs efforts dans certains cas. Grâce à l'étendue de sa base de données, WHOIS History Search est capable d'acquérir des enregistrements WHOIS complets et précis pour tout domaine ayant été en ligne avant la mise en œuvre du RGPD.