przejęcie DNS

Przejęcie DNS (DNS hijacking) to atak, w którym napastnik zmienia sposób rozwiązywania nazwy domeny tak, by zapytania o nią prowadziły do serwerów pod jego kontrolą. Może to zrobić z konta u rejestratora domen, z panelu dostawcy DNS albo przez zmianę ustawień resolvera na urządzeniu ofiary. CISA opisuje typowy przebieg: atakujący zdobywa dane logowania do konta z prawem zmiany rekordów, podmienia rekordy A, MX lub NS na adresy, które kontroluje, a potem uzyskuje dla domeny ważne certyfikaty ^[1]. Użytkownik wpisuje poprawny adres, a trafia na serwer atakującego.

Jak działa

DNS tłumaczy nazwę domeny na adres IP. Łańcuch obejmuje rejestratora, u którego wskazano serwery nazw domeny, serwery autorytatywne przechowujące rekordy strefy i resolver, który pyta o nie w imieniu użytkownika. Przejęcie któregokolwiek ogniwa daje kontrolę nad tym, dokąd trafiają odwiedzający, poczta i żądania API.

Najgroźniejszy wariant wymierzony w domenę przebiega jak w schemacie poniżej, zgodnie z opisem CISA ^[1].

RYS. 1Przejęcie DNS przez konto administracyjne

Trzeci krok jest kluczowy. Kto kontroluje DNS, ten może wykazać urzędowi certyfikacji, że włada domeną, i otrzymać dla niej certyfikat. Według CISA pozwala to przechwytywać i odszyfrowywać ruch bez ostrzeżeń przeglądarki ^[1]. Zielona kłódka nie jest wtedy dowodem, że strona jest prawdziwa.

MITRE ATT&CK opisuje przejmowanie serwerów DNS jako technikę T1584.002 i wymienia skutki: przekierowanie ruchu na infrastrukturę atakującego, tworzenie subdomen wskazujących na jego serwery bez wiedzy właściciela oraz wykazywanie własności domeny wobec usług SaaS ^[2]. Zauważa też, że większość tej aktywności odbywa się poza polem widzenia atakowanej organizacji, co utrudnia wykrycie ^[2].

Odmiany

Warianty różnią się miejscem, w którym atakujący wchodzi w łańcuch rozwiązywania nazw.

Pokrewne techniki mają osobne hasła: DNS cache poisoning fałszuje odpowiedzi w pamięci podręcznej resolvera bez dostępu do konta, subdomain takeover wykorzystuje osierocony rekord wskazujący na nieużywaną usługę, a BGP hijacking przejmuje trasowanie całych zakresów adresów. Wariant z routerem jest formą pharmingu.

W WordPressie

Dla witryny na WordPressie przejęcie DNS oznacza, że cały ruch może trafić na inny serwer, choć sama instalacja, pliki i baza pozostają nietknięte. Skaner plików i wtyczka bezpieczeństwa niczego nie wykryją, bo atak dzieje się poza serwerem.

Typowe skutki dla strony:

• Kopia strony logowania na serwerze atakującego zbiera hasła administratorów, co jest odmianą phishingu prowadzącą do przejęcia konta.
• Zmiana rekordu MX przekierowuje pocztę domeny. WordPress odzyskuje dostęp do konta przez link „Lost your password?”, który wysyła wiadomość na adres zapisany w profilu ^[7]. Jeśli ten adres jest w przejętej domenie, reset hasła trafia do atakującego.
• Podstawiona strona może rozsyłać złośliwe oprogramowanie albo przekierowywać dalej, co z zewnątrz wygląda jak podmiana treści strony (defacement).
• Rekordy SPF, DKIM i DMARC też są w DNS, więc atakujący może zmienić politykę uwierzytelniania poczty.

Zagrożenia i skutki

Przejęcie DNS daje atakującemu pozycję man-in-the-middle (MITM) wobec wszystkich użytkowników domeny naraz, bez włamania do serwera. Kampania Sea Turtle opisana przez Cisco Talos w kwietniu 2019 roku objęła co najmniej 40 organizacji w 13 krajach ^[3]. Napastnicy wchodzili do rejestratorów, operatorów telekomunikacyjnych i dostawców internetu, żeby dotrzeć do właściwych celów ^[3]. Talos uznał ją za pierwszy potwierdzony przypadek przejęcia organizacji rejestru DNS w celach szpiegowskich ^[3].

Atak na użytkowników końcowych bywa równie skuteczny. CERT Polska w lutym 2014 roku opisał przestępców, którzy przez podatności routerów domowych zmieniali w nich serwery DNS ^[5]. Zapytania o domeny banków trafiały do serwerów atakujących, a na stronach banków pojawiały się fałszywe prośby o jednorazowe kody autoryzacyjne ^[5].

Jak się bronić

CISA w dyrektywie ED 19-01 z 22 stycznia 2019 roku nakazała agencjom federalnym cztery działania ^[1]:

• audyt rekordów DNS na serwerach autorytatywnych, w pierwszej kolejności rekordów NS;
• zmianę haseł do wszystkich kont administrujących DNS;
• włączenie uwierzytelniania wieloskładnikowego na tych kontach, najlepiej odpornego na phishing, a nie przez SMS;
• monitorowanie dzienników Certificate Transparency pod kątem nieautoryzowanych certyfikatów.

Talos zaleca dodatkowo usługę Registry Lock, która wymaga potwierdzenia poza zwykłym kanałem przed każdą zmianą rekordów domeny, a tam, gdzie jej nie ma, uwierzytelnianie wieloskładnikowe przy dostępie do DNS ^[3]. Wskazuje też monitorowanie pasywnego DNS pod kątem nietypowych zmian ^[3].

DNSSEC dodaje do DNS uwierzytelnienie pochodzenia danych i ochronę ich integralności ^[6]. Chroni więc przed sfałszowaniem odpowiedzi po drodze. Nie zapewnia poufności ani ochrony przed atakami odmowy usługi ^[6], a gdy atakujący działa z konta właściciela domeny, podpisze albo wyłączy strefę tak samo jak właściciel.

Po stronie użytkowników CERT Polska zalecał wyłączenie zdalnej konfiguracji routera, zmianę domyślnego hasła, instalację aktualizacji oprogramowania urządzenia i sprawdzanie, czy nazwy banków rozwiązują się na właściwe adresy ^[5].

Historia i przykłady

28 sierpnia 2013 roku Niebezpiecznik opisał niedostępność serwisów Twitter, New York Times i Huffington Post spowodowaną przejęciem DNS-ów ^[4]. Atakujący uzyskali kontrolę nad kontami u rejestratora domen i podmienili wpisy serwerów DNS, a do ataku przyznała się Syryjska Armia Elektroniczna ^[4]. Serwery podstawione przez grupę przekierowywały użytkowników na jej strony ^[4].

W 2019 roku CISA wydała dyrektywę ED 19-01 w reakcji na kampanię manipulacji infrastrukturą DNS ^[1], a Talos opublikował analizę Sea Turtle, trwającej od stycznia 2017 roku do pierwszego kwartału 2019 roku ^[3]. MITRE podaje Sea Turtle i LAPSUS$ jako grupy, które zmieniały rekordy DNS ofiar ^[2].