搜索

[13790] 2019-02-23_全球性的DNS劫持活动：大规模DNS记录操控

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2019-02-23_全球性的DNS劫持活动：大规模DNS记录操控 全 球 性 的 D N S 劫 持 活 动 ： 大 规 模 D N S 记 录 操 控 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 2 - 2 3 介 绍 介 绍 F i r e E y e 的 的 M a n d i a n t 应 急 响 应 和 情 报 团 队 识 别 出 了 一 波 应 急 响 应 和 情 报 团 队 识 别 出 了 一 波 D N S 劫 持 攻 击 ， 这 波 攻 击 影 响 了 大 量 域 名 ， 其 中 包 括 中 劫 持 攻 击 ， 这 波 攻 击 影 响 了 大 量 域 名 ， 其 中 包 括 中 东 、 北 非 、 欧 洲 和 南 美 地 区 的 政 府 机 构 、 通 信 部 门 以 及 互 联 网 基 础 设 施 。 研 究 人 员 目 前 还 无 法 识 别 此 次 活 动 背 东 、 北 非 、 欧 洲 和 南 美 地 区 的 政 府 机 构 、 通 信 部 门 以 及 互 联 网 基 础 设 施 。 研 究 人 员 目 前 还 无 法 识 别 此 次 活 动 背 后 的 攻 击 者 身 份 ， 但 初 步 研 究 表 明 ， 攻 击 者 与 伊 朗 有 关 。 与 此 同 时 ， 研 究 人 员 也 在 积 极 与 相 关 受 害 者 、 安 全 组 后 的 攻 击 者 身 份 ， 但 初 步 研 究 表 明 ， 攻 击 者 与 伊 朗 有 关 。 与 此 同 时 ， 研 究 人 员 也 在 积 极 与 相 关 受 害 者 、 安 全 组 织 以 及 执 法 机 构 密 切 合 作 ， 以 尽 可 能 缓 解 攻 击 所 带 来 的 影 响 。 织 以 及 执 法 机 构 密 切 合 作 ， 以 尽 可 能 缓 解 攻 击 所 带 来 的 影 响 。 虽 然 此 次 活 动 使 用 了 很 多 传 统 的 攻 击 策 略 ， 但 它 和 其 他 利 用 了 D N S 劫 持 的 伊 朗 攻 击 活 动 有 所 不 同 ， 接 下 来 我 们 一 起 看 一 看 攻 击 者 都 使 用 了 那 些 新 型 的 攻 击 策 略 。 初 步 研 究 表 明 此 次 攻 击 活 动 与 伊 朗 有 关 初 步 研 究 表 明 此 次 攻 击 活 动 与 伊 朗 有 关 目 前 ， 针 对 此 次 活 动 的 研 究 分 析 正 在 进 行 中 。 此 次 攻 击 活 动 中 涉 及 到 的 D N S 记 录 篡 改 操 作 非 常 的 复 杂 ， 而 且 攻 击 跨 越 了 不 同 的 时 间 段 、 基 础 设 施 和 服 务 提 供 商 ， 因 此 完 成 此 次 攻 击 活 动 的 绝 非 一 人 。 1 . 该 活 动 中 涉 及 到 多 个 攻 击 集 群 ， 并 从 2 0 1 7 年 1 月 份 开 始 活 跃 至 今 。 2 . 攻 击 活 动 涉 及 到 了 多 个 域 名 以 及 I P 地 址 。 3 . 攻 击 者 使 用 了 大 量 不 同 供 应 商 的 加 密 证 书 以 及 V P S 主 机 。 根 据 初 步 研 究 所 得 到 的 技 术 证 据 ， 研 究 人 员 认 为 此 次 活 动 是 在 伊 朗 境 内 发 动 的 ， 而 且 该 活 动 的 确 符 合 伊 朗 政 府 的 利 益 链 。 技 术 细 节 技 术 细 节 在 接 下 来 的 分 析 中 ， 样 本 使 用 了 v i c t i m [ . ] c o m 来 代 表 目 标 用 户 域 名 ， 私 人 I P 地 址 代 表 攻 击 者 控 制 的 I P 地 址 。
技 术 一 、 技 术 一 、 D N S 的 的 A 记 录 记 录 攻 击 者 所 使 用 的 第 一 种 方 法 就 是 修 改 D N S 中 的 A 记 录 ， 如 下 图 所 示 ： 1 . 攻 击 者 登 录 P X Y 1 （ 作 为 进 行 非 属 性 化 浏 览 和 其 他 基 础 设 施 操 作 的 代 理 ） ； 2 . 攻 击 者 使 用 之 前 窃 取 来 的 凭 证 登 录 D N S 提 供 商 的 管 理 员 界 面 ； 3 . A 记 录 （ 例 如 m a i l [ . ] v i c t i m [ . ] c o m ） 当 前 指 向 的 是 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0 ； 4 . 攻 击 者 修 改 A 记 录 ， 并 将 其 指 向 1 0 . 2 0 . 3 0 . 4 0 （ O P 1 ） ； 5 . 攻 击 者 从 P X Y 1 切 换 至 O P 1 ： 代 理 会 监 听 所 有 开 放 端 口 ， 并 生 成 m a i l [ . ] v i c t i m [ . ] c o m 的 镜 像 ； 负 载 平 衡 器 会 指 向 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0   [ m a i l [ . ] v i c t i m [ . ] c o m ] 来 转 发 用 户 流 量 ； 6 . 使 用 c e r t b o t 来 为 m a i l [ . ] v i c t i m [ . ] c o m 创 建 L e t ’ s   E n c r y p t 证 书 ； 7 . 当 用 户 访 问 m a i l [ . ] v i c t i m [ . ] c o m 时 会 被 定 向 到 O P 1 ， L e t ’ s   E n c r y p t 证 书 将 允 许 浏 览 器 建 立 通 信 连 接 。 连 接 会 被 转 发 至 负 载 均 衡 器 ， 并 建 立 真 正 的 m a i l [ . ] v i c t i m [ . ] c o m 连 接 。 在 整 个 过 程 中 ， 用 户 不 会 感 受 到 任 何 的 网 络 延 迟 ； 8 . 用 户 名 、 密 码 和 域 名 证 书 将 会 被 攻 击 者 截 获 并 存 储 。 技 术 二 、 技 术 二 、 D N S 的 的 N S 记 录 记 录 攻 击 者 所 使 用 的 第 二 种 技 术 需 要 修 改 D N S 的 N S 记 录 ， 如 下 图 所 示 ： 1 . 攻 击 者 再 次 登 录 P X Y 1 ；
2 . 这 一 次 ， 攻 击 者 将 利 用 之 前 且 渠 道 的 c c T L D 或 注 册 凭 证 ； 3 . 域 名 服 务 器 记 录 n s 1 [ . ] v i c t i m [ . ] c o m 当 前 设 置 为 1 9 2 . 1 6 8 . 1 0 0 . 2 0 0 。 攻 击 者 会 修 改 N S 记 录 并 将 其 指 向 n s 1 [ . ] b a d d o m a i n [ . ] c o m   [ 1 0 . 1 . 2 . 3 ] 。 当 收 到 m a i l [ . ] v i c t i m [ . ] c o m 请 求 后 ， 这 个 域 名 服 务 器 会 响 应 I P   1 0 . 2 0 . 3 0 . 4 0   ( O P 1 ) ， 但 如 果 请 求 的 是 w w w [ . ] v i c t i m [ . ] c o m ， 则 会 响 应 原 始 的 I P   1 9 2 . 1 6 8 . 1 0 0 . 1 0 0 。 4 . 攻 击 者 从 P X Y 1 切 换 至 O P 1 ： 代 理 会 监 听 所 有 开 放 端 口 ， 并 生 成 m a i l [ . ] v i c t i m [ . ] c o m 的 镜 像 ； 负 载 平 衡 器 会 指 向 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0   [ m a i l [ . ] v i c t i m [ . ] c o m ] 来 转 发 用 户 流 量 ； 5 . 使 用 c e r t b o t 来 为 m a i l [ . ] v i c t i m [ . ] c o m 创 建 L e t ’ s   E n c r y p t 证 书 ； 6 . 当 用 户 访 问 m a i l [ . ] v i c t i m [ . ] c o m 时 会 被 定 向 到 O P 1 ， L e t ’ s   E n c r y p t 证 书 将 允 许 浏 览 器 建 立 通 信 连 接 。 连 接 会 被 转 发 至 负 载 均 衡 器 ， 并 建 立 真 正 的 m a i l [ . ] v i c t i m [ . ] c o m 连 接 。 在 整 个 过 程 中 ， 用 户 不 会 感 受 到 任 何 的 网 络 延 迟 ； 7 . 用 户 名 、 密 码 和 域 名 证 书 将 会 被 攻 击 者 截 获 并 存 储 。 技 术 三 、 技 术 三 、 D N S 重 定 向 重 定 向 除 了 上 述 两 种 技 术 之 外 ， 攻 击 者 还 会 同 时 解 和 这 两 者 来 实 现 攻 击 。 这 里 就 涉 及 到 了 D N S 重 定 向 技 术 ， 如 下 图 所 示 ： D N S 重 定 向 是 由 攻 击 者 控 制 的 ， 它 可 以 直 接 响 应 目 标 用 户 的 D N S 请 求 。 1 . 指 向 m a i l [ . ] v i c t i m [ . ] c o m 的 D N S 请 求 会 被 发 送 至 O P 2 ； 2 . 如 果 域 名 处 于 v i c t i m [ . ] c o m 空 间 中 ， O P 2 会 响 应 一 个 由 攻 击 者 控 制 的 I P 地 址 ， 用 户 会 被 重 定 向 至 攻 击 者 控 制 的 基 础 设 施 ； 3 . 如 果 域 名 不 处 于 v i c t i m [ . ] c o m 空 间 内 ， O P 2 会 向 一 个 合 法 的 D N S 设 施 发 送 D N S 请 求 ， 并 获 取 到 I P 地 址 ， 然 后 将 合 法 的 I P 地 址 返 回 给 用 户 。 如 何 保 护 我 们 自 己 ？ 如 何 保 护 我 们 自 己 ？ 1 . 在 我 们 的 域 名 管 理 界 面 中 启 用 多 因 素 身 份 验 证 功 能 ； 2 . 验 证 A 记 录 和 N S 记 录 的 修 改 有 效 性 ； 3 . 搜 索 跟 自 己 域 名 相 关 的 S S L 证 书 ， 回 收 所 有 的 恶 意 证 书 ； 4 . 验 证 O W A / E x c h a n g e s 日 志 中 的 I P 源 地 址 ； 5 . 对 环 境 中 的 所 有 访 问 权 限 进 行 安 全 审 计 。 * 参 考 来 源 ： 参 考 来 源 ： f i r e e y e ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理