EpikFail : Cybersquatting

rawpixel (CC-BY)

Le 13 septembre, Anonymous a publié 180 gigaoctets de données privées provenant d'Epik, l'hébergeur web préféré de l'extrême droite américaine. Ce fournisseur d'accès à Internet a été accusé d'avoir facilité l'organisation des attaques du 6 janvier contre le Capitole en hébergeant des plateformes telles que Gab, Parler ou TheDonald.

La fuite a révélé 1,8 million de domaines ainsi que les informations personnelles de leurs titulaires. Si cela inclut une part importante de la présence en ligne de l'extrême droite américaine, beaucoup de ces domaines sont des sites web tout à fait ordinaires. The Washington Post recense ainsi des domaines consacrés à l'immobilier, au bricolage, à la cuisine vegan, à diverses formes de spiritualité, à la pornographie, au jeu vidéo, aux cryptomonnaies…

Par ailleurs, bien que l'écrasante majorité des domaines soit enregistrée par des résidents américains, des titulaires de tous horizons sont représentés dans cette fuite. Predicta Lab a donc entrepris d'explorer les 2951 domaines Epik enregistrés à des adresses en France.

Pour ce faire, nous avons commencé par ingérer le fichier original selon les étapes suivantes. Premièrement, nous avons converti la base de données whois d'un format SQL vers un fichier JSON. Deuxièmement, nous avons chargé les données dans un ElasticSearch permettant de les visualiser facilement.

Ce processus a révélé que, comme l'ensemble des données, l'échantillon des domaines enregistrés par des résidents français est extrêmement hétérogène. On y trouve par exemple des domaines de petites entreprises, de mangas, de sites pornographiques, de forums, de sites de cryptographie, etc. Aucune tendance générale ne se dégageant de cette évaluation préliminaire, nous avons donc décidé de nous concentrer sur les trois individus détenant le plus de domaines Epik. Le résultat de cette sélection est présenté ci-dessous (Figure 1).

Figure 1

En première position, avec 1122 domaines enregistrés à son nom, se trouve « domain admin ». Il ne s'agit bien sûr pas d'un individu, mais du résultat du système d'anonymisation d'Epik (ou de la partie de ce système qui a fonctionné). Nous mettrons donc ce cas de côté pour nous intéresser aux trois individus suivants.

Figure 2

Nous avons tout d'abord Amour Media, qui a enregistré 414 domaines sur Epik (Figure 2). Une entreprise de publicité basée à Nantes était enregistrée à la même adresse que ces domaines. Cette entreprise n'a été active qu'entre 2007 et 2018 mais les domaines créés sous ce nom ont été achetés de mars 2000 à octobre 2020. Sur l'ensemble des domaines détenus par Amour Media, deux adresses ont été renseignées : celle de Nantes et une seconde à Chambéry, où est enregistrée une autre entreprise de publicité du nom d'Olyon. Olyon appartient à la même personne qu'Amour Media et est active depuis juin 2018. Fait intéressant, le domaine olyon.com, également détenu par Amour Media, redirige vers un site actif d'un restaurant de restauration rapide, tenu là encore par la même personne. Cet individu utilise donc ses domaines pour promouvoir son activité. Mais pas seulement.

Sur les 414 domaines enregistrés au nom d'Amour Media, plus de la moitié (252) portent des noms liés au lesbianisme et aux rencontres. Il semble que ces noms soient destinés à dissimuler des sites pornographiques (Figure 3).

Figure 3

*« Shaadi » est le nom d'un service matrimonial indien.

Certains de ces domaines ont trouvé un second acquéreur : 14 domaines au format [ville]dating.com redirigent vers le blog artistique d'une Nord-Macédonienne, 11 redirigent vers une boutique en ligne d'électronique nord-macédonienne et 48 redirigent vers divers sites pornographiques.

Figure 4

On retrouve de même une thématique dans les domaines enregistrés par le second résident français comptant le plus d'enregistrements Epik. Sur les 378 domaines achetés par Fabien D., 376 comportent le terme « padel » dans leur nom, un sport qu'il pratique lui-même (Figure 4). Ces domaines ont été achetés entre février 2000 et novembre 2019. Cette large variation de domaines liés au padel témoigne également d'une tentative de s'approprier tous les noms de domaine relatifs à cette activité afin de profiter de leur revente.

Le troisième résident français comptant le plus de domaines Epik est Mustafa C. et, contrairement aux deux précédents, ses 189 domaines sont extrêmement hétéroclites. Ils touchent à toutes sortes de domaines tels que la santé, l'automobile, l'actualité et l'électronique. La plupart sont en turc, langue maternelle de Mustafa. Il semble que sa stratégie consiste à acheter des domaines pour des activités très courantes, en partant du principe qu'ils ont plus de chances d'être demandés que des domaines de niche. Cinq de ses domaines ont été achetés par une entreprise turque de conseil en informatique et redirigent désormais vers le site web de l'entreprise. Dix autres domaines sont en vente à des prix audacieux, allant de 5 000 $ (USD) à 50 000 $.

La pratique consistant à enregistrer la marque d'autrui dans un nom de domaine, généralement de mauvaise foi, porte différents noms : cybersquatting, domain name grabbing, accaparement de noms de domaine (ICANN, 2021). L'objectif de l'accaparement de noms de domaine est généralement d'empêcher le propriétaire ou l'utilisateur légitime de la marque utilisée dans le nom de domaine d'y accéder, afin de lui revendre ensuite le domaine à un prix avantageux.

Dans quelle mesure cette pratique est-elle réellement rentable ? Cela dépend : dans le cas d'Epik, des factures ont montré que certains domaines valent des milliers de dollars. Néanmoins, en 2019, la moitié des domaines ont été vendus pour moins d'un dollar et seuls environ 2 % ont dépassé les 10 dollars. L'accaparement de noms de domaine n'est donc réellement rentable que si la personne qui s'y adonne possède des domaines que des acheteurs sont prêts à payer cher, ou si elle en possède un grand nombre.

L'accaparement de noms de domaine est puni par la loi, tant en France qu'aux États-Unis.

Aux États-Unis, l'Anticybersquatting Consumer Protection Act (ACPA), 15 U.S.C. § 1125(d), permet de poursuivre le titulaire d'un domaine sous deux conditions. Premièrement, s'il a agi de mauvaise foi ou dans l'intention de tirer profit d'une marque. Deuxièmement, s'il a enregistré, exploite commercialement ou utilise un nom de domaine identique ou prêtant à confusion avec une marque distinctive, notoire ou protégée qu'il ne possède pas. L'accaparement de noms de domaine peut ainsi faire l'objet de poursuites devant un tribunal fédéral en vertu de l'ACPA. Il peut également être traité dans le cadre de procédures administratives, selon l'Uniform Domain Name Dispute Resolution Policy (UDRP), appliquée par l'Internet Corporation for Assigned Names and Numbers (ICANN).

En France, l'Association française pour le nommage internet en coopération (AFNIC) mène les procédures légales visant à régler les litiges relatifs aux noms de domaine en .fr et .re, selon les procédures alternatives de résolution de litiges (PARL).

Suivez @PredictaLabOff sur Twitter pour plus d'enquêtes OSINT.

Cet article est disponible sur Medium predictalab.medium.com ainsi que sur notre site blog.predictalab.fr

Bibliographie

• @Padel_Prodotcom. (2021). Twitter. https://twitter.com/Padel_Prodotcom
• AFNIC. (2021). PARL : Procédures Alternatives de Résolution de Litiges. AFNIC Internet Made in France. https://www.afnic.fr/noms-de-domaine/resoudre-un-litige/parl/
• Ajans Mention. (2021). Anasayfa. Ajans Mention.
• ANSSI. (2021). Glossaire. Agence Nationale de La Sécurité Des Systèmes d'Information. https://www.ssi.gouv.fr/particulier/glossaire/a/#accaparement-de-noms-de-domaine-cybersquatting-domain-name-grabbing
• Brandpa. (2021). The domain OHBE.com is for sale. Brandpa.com. https://brandpa.com/names/ohbe
• Brandpa. (2021). The domain ewlx.com is for sale. Brandpa.com. https://brandpa.com/names/ewlx
• Cvetnovska, V. (2021). VALENTINA CVETANOVSKA. WordPress. https://tinaart.mk
  e-pick. (2021). e-pick Store. https://galamino.mk/en/
• Harwell, D., Allam, H., Merrill, J. B., & Timberg, C. (2021, September 25). Fallout begins for far-right trolls who trusted Epik to keep their identities secret. The Washington Post. https://www.washingtonpost.com/technology/2021/09/25/epik-hack-fallout/
• ICANN. (2021). About Cybersquatting. Internet Corporation for Assigned Names and Numbers. https://www.icann.org/resources/pages/cybersquatting-2013-05-03-en
• Societe.com. (2021a). AMOUR MEDIA — 44000. Société. https://www.societe.com/etablissement/amour-media-49331479300016.html
• Societe.com. (2021b). OLYON — 73000. Société. https://www.societe.com/etablissement/olyon-49331479300024.html
• U.S. Code. (2021). 15 U.S. Code § 1125 — False designations of origin, false descriptions, and dilution forbidden. Legal Information Institute. https://www.law.cornell.edu/uscode/text/15/1125