Какво е DNS тунелиране? Инструкции за откриване

DNS тунелирането превръща системата за имена на домейни в хакерско оръжие. DNS по същество е огромният телефонен указател на Интернет. DNS също е основният протокол, който позволява на администраторите да правят заявки в базата данни на DNS сървъра. До тук всичко изглежда ясно. Но хитрите хакери са осъзнали, че е възможно да се комуникира с компютъра жертва скрито чрез инжектиране на контролни команди и данни в DNS протокола. Това е идеята зад DNS тунелирането.

Как работи DNS тунелирането

За всичко в интернет има отделен протокол. И DNS поддържа сравнително проста протокол тип заявка-отговор. Ако искате да видите как работи, можете да стартирате nslookup, основният инструмент за DNS заявки. Можете да поискате адрес, като просто въведете името на домейна, което ви интересува, например:

В нашия случай протоколът отговори с IP адрес на домейн. По отношение на DNS протокола направих заявка за адрес или т.нар. "Тип. Има и други видове заявки и DNS протоколът ще отговори с различен набор от полета с данни, които, както ще видим по-късно, могат да бъдат използвани от хакери.

По един или друг начин, в основата си DNS протоколът е за изпращане на заявка до сървъра и нейния отговор обратно към клиента. Какво става, ако нападателят добави скрито съобщение в заявка за име на домейн? Например, вместо да въвежда напълно легитимен URL адрес, той ще въведе данните, които иска да предаде:

Да предположим, че нападател контролира DNS сървъра. Тогава той може да предава данни - например лични данни - и не е задължително да бъде открит. В края на краищата, защо една DNS заявка изведнъж ще стане нещо нелегитимно?

Като контролират сървъра, хакерите могат да фалшифицират отговори и да изпращат данни обратно към целевата система. Това им позволява да предават съобщения, скрити в различни полета на DNS отговора на злонамерения софтуер на заразената машина, с инструкции като търсене в конкретна папка.

„Тунелната“ част от тази атака е прикриване данни и команди от засичане от системи за мониторинг. Хакерите могат да използват наборите от символи base32, base64 и т.н. или дори да криптират данните. Такова кодиране ще мине незабелязано от прости помощни програми за откриване на заплахи, които търсят в обикновен текст.

И това е DNS тунелирането!

История на атаки чрез DNS тунелиране

Всичко има начало, включително идеята за отвличане на DNS протокола за хакерски цели. Доколкото можем да преценим, първото дискусия такава атака е извършена от Oskar Pearson в списъка с имейли на Bugtraq през април 1998 г.

До 2004 г. DNS тунелирането беше въведено в Black Hat като хакерска техника в презентация на Дан Камински. Така идеята много бързо се превърна в истински инструмент за атака.

Днес DNS тунелирането заема силна позиция на картата потенциални заплахи (и блогърите по сигурността често са питани да го обяснят).

Чували ли сте за Водна костенурка ? Това е продължаваща кампания от киберпрестъпници - най-вероятно спонсорирана от държавата - за превземане на легитимни DNS сървъри, за да пренасочват DNS заявки към собствените си сървъри. Това означава, че организациите ще получат „лоши“ IP адреси, сочещи към фалшиви уеб страници, управлявани от хакери, като Google или FedEx. В този случай нападателите ще могат да получат акаунтите и паролите на потребителите, които несъзнателно ги въвеждат в такива фалшиви сайтове. Това не е DNS тунелиране, а просто още една неприятна последица от хакерския контрол върху DNS сървърите.

DNS тунелни заплахи

DNS тунелирането е като индикатор за началото на етапа на лошите новини. Кои? Вече говорихме за няколко, но нека ги структурираме:

• Изход на данни (екфилтрация) – хакер тайно прехвърля критични данни през DNS. Това определено не е най-ефективният начин за прехвърляне на информация от компютъра на жертвата - предвид всички разходи и кодировки - но работи и в същото време - дискретно!
• Командване и управление (накратко C2) - хакерите използват DNS протокола, за да изпращат прости контролни команди, да речем, чрез троянски кон за отдалечен достъп (троянски кон за отдалечен достъп, накратко RAT).
• Тунелиране на IP през DNS - това може да звучи налудничаво, но има помощни програми, които внедряват IP стек върху заявките и отговорите на DNS протокола. Това прави прехвърляне на данни чрез FTP, Netcat, ssh и др. сравнително проста задача. Изключително зловещо!

Откриване на DNS тунелиране

Има два основни метода за откриване на злоупотреба с DNS: анализ на натоварването и анализ на трафика.

при анализ на натоварването защитаващата страна търси аномалии в данните, изпратени напред-назад, които могат да бъдат открити чрез статистически методи: странно изглеждащи имена на хостове, тип DNS запис, който не се използва толкова често, или нестандартно кодиране.

при анализ на трафика броят на DNS заявките към всеки домейн се оценява в сравнение със средното ниво. Нападателите, използващи DNS тунелиране, ще генерират много трафик към сървъра. На теория далеч по-добър от нормалните DNS съобщения. И трябва да се проследи!

Помощни програми за DNS тунелиране

Ако искате да проведете свой собствен тест за проникване и да видите колко добре вашата компания може да открие и отговори на такава дейност, има няколко помощни програми за това. Всички те могат да тунелират в режим IP през DNS:

• Йод – достъпно на много платформи (Linux, Mac OS, FreeBSD и Windows). Позволява ви да инсталирате SSH shell между целевия и контролния компютър. Ето един добър гайд относно настройването и използването на йод.
• OzymanDNS е проектът за DNS тунелиране от Дан Камински, написан на Perl. Можете да се свържете с него чрез SSH.
• DNSCat2 „DNS тунел, който не ви разболява.“ Създава криптиран C2 канал за качване/изтегляне на файлове, стартиране на черупки и т.н.

Помощни програми за наблюдение на DNS

По-долу е даден списък с няколко помощни програми, които ще бъдат полезни за откриване на тунелни атаки:

• dnsHunter - Python модул, написан за MercenaryHuntFramework и Mercenary-Linux. Чете .pcap файлове, извлича DNS заявки и извършва геолокационно съпоставяне за подпомагане на анализа.
• reassemble_dns е помощна програма на Python, която чете .pcap файлове и анализира DNS съобщения.

Микро често задавани въпроси за DNS тунелиране

Полезна информация под формата на въпроси и отговори!

Въпрос: Какво е тунелиране?
ОТНОСНО: Това е просто начин за прехвърляне на данни по съществуващ протокол. Базовият протокол осигурява специален канал или тунел, който след това се използва за скриване на информацията, която всъщност се предава.

В: Кога е извършена първата DNS тунелна атака?
ОТНОСНО: Ние незнаем! Ако знаете, моля, уведомете ни. Доколкото ни е известно, първото обсъждане на атаката беше инициирано от Oscar Pearsan в списъка с имейли на Bugtraq през април 1998 г.

Въпрос: Какви атаки са подобни на DNS тунелирането?
ОТНОСНО: DNS далеч не е единственият протокол, който може да се използва за тунелиране. Например злонамереният софтуер за управление и контрол (C2) често използва HTTP, за да маскира комуникационния канал. Както при DNS тунелирането, хакерът скрива данните си, но в този случай изглежда като трафик от обикновен уеб браузър, който осъществява достъп до отдалечен сайт (контролиран от нападателя). Това може да остане незабелязано от програмите за наблюдение, ако не са конфигурирани да възприемат заплаха злоупотреба с HTTP протокола за хакерски цели.

Искате ли да ви помогнем с откриването на DNS тунели? Вижте нашия модул Варонис Едж и опитайте безплатно демонстрация!

Източник: www.habr.com