sinkhole

Sinkhole to serwer, na który obrońcy kierują ruch przeznaczony dla złośliwej domeny: serwera C2 (command and control) botnetu, strony phishingowej albo domeny wykorzystywanej w ataku. Sinkhole nie wykonuje poleceń napastnika, a przy okazji rejestruje, ile i jakich maszyn próbuje się z domeną łączyć. CERT Polska opisuje ten mechanizm przy przejęciu domen z ataku badWPAD: kontrola nad domenami pozwoliła przekierować je na sinkhole i ocenić skalę zagrożenia ^[1]. W polskich tekstach używa się formy angielskiej: „sinkhole”, „przekierowanie na sinkhole”, czasem „sinkholing” dla samej czynności.

Jak działa

Złośliwe oprogramowanie i fałszywe strony zwykle odwołują się do nazw domen, a nie do stałych adresów IP. Kto przejmie kontrolę nad rozwiązywaniem nazwy, ten decyduje, dokąd trafi ruch. Są na to trzy drogi:

• przejęcie lub zarejestrowanie domeny przez obrońców, jak przy badWPAD, gdzie domeny zostały przekazane NASK ^[1];
• zablokowanie domeny w serwerach DNS operatorów, jak na polskiej Liście Ostrzeżeń ^[2];
• lokalny wpis w firmowym serwerze DNS; Mandiant przy okazji WannaCry radził organizacjom „lokalne” skierowanie domeny na adres sinkhole’a przez rekord A ^[4].

RYS. 1Zainfekowana maszyna trafia na sinkhole

Dane z sinkhole’a służą do liczenia ofiar i powiadamiania ich operatorów. Tego rodzaju pomiar jest też jednym ze źródeł wskaźników kompromitacji (IoC).

Odmiany

W domenach generowanych przez algorytm generowania domen (DGA) obrońcy muszą przewidzieć i zająć nazwy, których malware dopiero będzie szukać; stąd sinkholing często łączy się z analizą kodu złośliwego oprogramowania.

W Polsce: Lista Ostrzeżeń

CERT Polska prowadzi listę ostrzeżeń przed niebezpiecznymi stronami, aktualizowaną całą dobę przez siedem dni w tygodniu ^[2]. Podstawą prawną jest art. 20 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej ^[2], uchwalonej 28 lipca 2023 roku ^[3]. Na listę mogą trafić tylko domeny, których podstawowym celem jest wprowadzenie w błąd użytkowników internetu ^[2].

Operatorzy telekomunikacyjni, którzy podpisali porozumienie z Prezesem UKE i Ministerstwem Cyfryzacji, kierują zapytania o te domeny na adresy hole.cert.pl albo subdomeny hole-sinkhole.cert.pl ^[2]. Użytkownik zamiast phishingu widzi planszę ostrzegawczą. Domena pozostaje zablokowana przez sześć miesięcy, a wraz z nią jej subdomeny ^[2]. Właściciel domeny może wnieść sprzeciw do Prezesa UKE na podstawie art. 21 ^[2]. Podejrzane strony można zgłaszać CERT Polska, a SMS-y przesyłać bezpłatnie na numer 8080 ^[2].

W WordPressie

Przejęte strony WordPress często ładują skrypty albo wysyłają dane do domen napastnika. Gdy taka domena zostanie przejęta albo zablokowana, wstrzyknięty kod przestaje działać, ale nie znika ze strony. Skutki dla właściciela:

• odwołanie do zablokowanej domeny w kodzie motywu, wtyczki albo w bazie to ślad infekcji, który trzeba usunąć przy czyszczeniu przejętej strony;
• jeśli domena odwołania wskazuje w DNS polskiego operatora na hole.cert.pl, jest ona na Liście Ostrzeżeń ^[2];
• plansza ostrzegawcza zamiast własnej strony może oznaczać, że domenę uznano za służącą do oszustwa; ścieżką odwoławczą jest sprzeciw do Prezesa UKE ^[2].

Sinkhole nie leczy serwera: webshell czy tylna furtka (backdoor) działają dalej, niezależnie od tego, czy serwer C2 odpowiada.

Dobre praktyki

Dla administratora sinkhole jest przede wszystkim źródłem informacji. Rozsądne kroki to:

• traktować powiadomienie od CERT albo operatora, że adres serwera łączył się z sinkhole’em, jako sygnał infekcji i uruchomić reagowanie na incydenty;
• we własnej sieci firmowej kierować znane złośliwe domeny na wewnętrzny sinkhole przez rekord A w serwerze DNS, jak radził Mandiant przy WannaCry ^[4], i przeglądać, które maszyny się do niego zgłaszają;
• zgłaszać podejrzane strony do CERT Polska, żeby mogły trafić na listę i zostać przekierowane dla wszystkich klientów operatorów, którzy podpisali porozumienie ^[2];
• pamiętać, że ruch do sinkhole’a tylko sygnalizuje problem; samo zablokowanie domeny nie usuwa złośliwego kodu z serwera.

Zagrożenia i ograniczenia

Sinkhole wymaga kontroli nad nazwą, więc napastnik, który szybko zmienia domeny, może go obejść. Tak było z WannaCry: 14 maja 2017 roku pojawił się wariant z nową domeną kill switch, którą także skierowano na sinkhole ^[4]. Sinkhole zbiera też adresy IP ofiar, więc jego operator przetwarza dane, które wymagają ostrożności. Wreszcie błędny wpis na listę blokuje uczciwą stronę; stąd ustawowa procedura sprzeciwu ^[2].

Historia i przykłady

badWPAD (2019). Protokół WPAD pozwala komputerom automatycznie znaleźć konfigurację serwera proxy; przy błędnie ustawionym sufiksie DNS zapytanie trafia do publicznej domeny, na przykład wpad.pl, której właściciel może przejąć ruch ^[1]. Domeny te od 2007 roku należały do prywatnej firmy ^[1]. W maju 2019 roku przeszły pod kontrolę NASK, a sinkhole CERT Polska zarejestrował w dniach 15–22 maja około 6,5 mln żądań HTTP z około 40 tys. unikalnych adresów IP ^[1]. CERT Polska opublikował opis 14 czerwca 2019 roku ^[1].

WannaCry (2017). Ransomware WannaCry, rozprzestrzeniający się od 12 maja 2017 roku jak robak komputerowy, przed zaszyfrowaniem plików próbował połączyć się z określoną domeną; jeśli się udało, według testów FireEye nie szyfrował i nie rozprzestrzeniał się dalej ^[4]. Domenę zarejestrował tego samego dnia badacz bezpieczeństwa, co zatrzymało szyfrowanie w wielu infekcjach ^[4]. Check Point Research 15 maja 2017 roku opisał, że zajął kolejną domenę kill switch i obserwował na niej około jednego połączenia na sekundę ^[5].