Détournement du registre de domaine LK du Sri Lanka (Google.lk)

Au matin du 6 février 2021, juste après le week-end de la fête de l'indépendance du Sri Lanka, les visiteurs de Google.lk se sont retrouvés redirigés vers une page de propagande politique. Le détournement ne s'est pas arrêté à Google : une dizaine de domaines .lk de premier plan, dont Oracle.lk, ont été redirigés vers du contenu contrôlé par les attaquants grâce à une manipulation au niveau du registre national de domaine.

Ce qui s'est passé

Le LK Domain Registry est l'autorité qui administre le domaine de premier niveau .lk du Sri Lanka. Les attaquants ont modifié les enregistrements DNS d'un ensemble de domaines majeurs afin que le trafic se résolve vers une nouvelle adresse IP diffusant leur message — une redirection au niveau du registre qui a même affecté des domaines que le registre ne contrôlait pas directement, comme Google.lk.

La page redirigée mettait en avant des revendications politiques sri-lankaises contemporaines, notamment le sort des travailleurs des plantations et de la communauté tamoule, les prisonniers politiques tamouls et les « crémations forcées » de victimes de la COVID-19 issues des minorités — présentant l'opération comme du hacktivisme plutôt que comme un acte criminel à motivation financière.

Une enquête ultérieure a révélé la cause racine probable : des identifiants administrateur du registre circulaient sur le dark web depuis 2012 et seraient restés valides jusqu'en septembre 2020, offrant aux attaquants une voie d'accès directe.

Conséquences

• Environ dix domaines .lk majeurs ont été redirigés, au premier rang desquels Google.lk et Oracle.lk.
• L'équipe du registre a détecté les modifications non autorisées et les a annulées, rétablissant une résolution normale en environ 90 minutes.
• Aucun vol de données n'a été signalé ; les dommages étaient réputationnels et symboliques — démontrant que l'ensemble du TLD d'une nation pouvait être subverti à partir d'un seul jeu d'identifiants faibles.

Réponse et suites

Le LK Domain Registry a annulé les entrées DNS malveillantes, et le CERT du Sri Lanka ainsi que l'Information Technology Society of Sri Lanka (ITSSL) ont ouvert des enquêtes. La découverte des identifiants exposés a suscité des appels urgents à imposer une hygiène des identifiants et une authentification multifacteur sur l'infrastructure critique du registre. Une nouvelle vague de défigurations en mai 2021, revendiquée par une « Tamil Eelam Cyber Force », a visé des ministères et des sites d'ambassades, soulignant une campagne hacktiviste soutenue contre les actifs numériques sri-lankais.

Pourquoi c'est important

Détourner un registre national de domaine figure parmi les attaques au plus fort effet de levier possible : contrôlez le registre et vous contrôlez la façon dont se résolvent les sites les plus visités d'un pays entier. Que cela ait été réalisé au moyen d'identifiants divulgués depuis une décennie — et non d'une faille inédite — en a fait une leçon brutale sur le coût d'une gestion négligée des identifiants à la couche la plus critique de l'infrastructure Internet.