Пасивен DNS в ръцете на аналитика

Системата за домейнни имена (DNS) е подобна на телефонния указател, който превежда удобни за потребителя имена, като "ussc.ru", в IP адреси. Тъй като активността на DNS е присъстваща почти във всички комуникационни сесии, независимо от протокола, логването на DNS е ценен източник на данни за специалистите по информационна сигурност, позволяваща им да откриват аномалии или да получават допълнителни данни за изследваната система.

През 2004 година Флориан Ваймер предложи метод за логване, наречен Passive DNS, който позволява възстановяване на историята на промените в DNS данните с възможности за индексиране и търсене, които могат да предоставят достъп до следните данни:

• Доменно име
• IP адрес на заявеното домейн име
• Дата и час на отговора
• Тип на отговора
• и т.н.

Данните за Passive DNS се събират от рекурсивни DNS сървъри чрез вградени модули или чрез прихващане на отговори от DNS сървъри, отговорни за зоната.

Фигура 1. Passive DNS (взета от сайта Ctovision.com)

Особеност на Passive DNS е, че не е необходимо да се регистрира IP адреса на клиента, което защитава поверителността на потребителите.

Към момента съществуват множество услуги, предоставящи достъп до данни за Passive DNS:

DNSDB
VirusTotal
PassiveTotal
Octopus
SecurityTrails
Umbrella Investigate

Компания
Farsight Security
VirusTotal
Riskiq
SafeDNS
SecurityTrails
Cisco

Достъп
При искане
Не изисква регистрация
Свободна регистрация
При искане
Не изисква регистрация
При искане

API
Присъства
Присъства
Присъства
Присъства
Присъства
Присъства

Наличие на клиент
Присъства
Присъства
Присъства
Липсва
Липсва
Липсва

Начало на събиране на данни
2010 година
2013 година
2009 година
Показва само последните 3 месеца
2008 година
2006 година

Таблица 1. Услуги с достъп до данни за Passive DNS

Варианти на използване на Passive DNS

С използването на Passive DNS можем да изграждаме връзки между домейнни имена, NS сървъри и IP адреси. Това позволява изграждане на карти на изследваните системи и проследяване на промените на такава карта от първоначалното откритие до настоящия момент.

Също така, Passive DNS улеснява откритията на аномалии в трафика. Например, проследяването на промените в NS зоните и записите от тип A и AAAA позволява открития на зловредни сайтове, които използват методите на fast flux, с цел да скрият C&C от откритие и блокиране. Тъй като легитимните домейн имена (с изключение на тези, използвани за разпределение на натоварването) не променят често своите IP адреси, а повечето легитимни зони рядко променят своите NS сървъри.

Пасивният DNS, за разлика от директното проследяване на поддомейни чрез речници, позволява да намерите дори най-ексцентричните домейн имена, например “222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru”. Също така понякога позволява да се открият тестови (и уязвими) области на уебсайта, материали за разработчици и др.

Изследване на връзката от имейла, използвайки Пасивен DNS

В момента спамът е един от основните начини, по които злоумишленици проникват в компютъра на жертвата или крадат поверителна информация. Нека опитаме да изследваме връзката от такъв имейл, използвайки Пасивен DNS, за да оценим ефективността на този метод.

Рисунок 2. Спам имейл

Връзката от този имейл водеше до сайта magnit-boss.rocks, който автоматично предлага да събира бонуси и да получава пари:

Рисунок 3. Страницата, разположена на домейна magnit-boss.rocks

За изследването на този сайт беше използван API Riskiq, който вече има 3 готови клиента на Python, Ruby и Rust.

Първо, ще научим цялата история на това домейн име, за което ще използваме командата:

pt-client pdns —query magnit-boss.rocks

Тази команда ще предостави информация за всички DNS резолвации, свързани с това домейн име.

Рисунок 4. Отговор от API Riskiq

Нека форматираме отговора от API в по-прегледен вид:

Рисунок 5. Всички записи от отговора

За по-нататъшно изследване бяха взети IP адресите, на които това домейн име е резолвирано в момента на получаване на имейла на 01.08.2019, като такива IP адреси са 92.119.113.112 и 85.143.219.65.

Използвайки командата:

pt-client pdns —query

можем да получим всички домейн имена, свързани с тези IP адреси.
IP адресът 92.119.113.112 има 42 уникални домейн имена, които са резолвирали към този IP адрес, сред които са следните имена:

• magnit-boss.club
• igrovie-avtomaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• и др.

IP адресът 85.143.219.65 има 44 уникални домейн имена, които са резолвирали към този IP адрес, сред които са следните имена:

• cvv2.name (сайт за продажба на данни от кредитни карти)
• emaills.world
• www.mailru.space
• и др.

Връзките с тези домейн имена навеждат на мисъл за фишинг, но ние вярваме в добри хора, затова нека се опитаме да получим бонус от 332 501,72 рубли? След натискане на бутона “ДА”, сайтът ни моли да преведем 300 рубли от картата, за да отключим сметката и ни изпраща на сайта as-torpay.info за въвеждане на данни.

Рисунок 6. Начална страница на сайта ac-pay2day.net

На вид легитимен сайт, има https сертификат, а и основната страница предлага свързване на тази платежна система с вашия сайт, но, за съжаление, всички линкове за свързване не работят. Тази доменна името резолвира само в 1 IP адрес — 190.115.19.74. Той от своя страна има 1475 уникални домейн имена, които резолвирали в този IP адрес, сред които са имената:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• и др.

Както можем да видим, Passive DNS позволява сравнително бързо и ефективно да съберем данни за изследвания ресурс и дори да изградим своеобразен отпечатък, който позволява да разкрием цяла схема за кражба на лични данни, от неговото получаване до вероятното място на продажба.

Рисунката 7. Карта на изследваната система

Не всичко е толкова радужно, колкото бихме искали. Например, такива разследвания лесно могат да се сблъскат с CloudFlare или подобни услуги. А ефективността на събираната база зависи много от количеството DNS запити, преминаващи през модула за събиране на Passive DNS данни. Но все пак, Passive DNS е източник на допълнителна информация за изследователя.

Автор: Специалист в Уралския център за системна безопасност

Източник: habr.com