Passive DNS в ръцете на аналитика.

Системата за домейни (DNS) е подобна на телефонния указател, който преобразува удобни за потребителя имена, като „ussc.ru“, в IP адреси. Тъй като активността на DNS присъства практически в почти всички сесии на връзка, независимо от протокола, DNS логването е ценен източник на данни за специалиста по информационна сигурност, позволявайки му да открива аномалии или да получава допълнителни данни за изследваната система.

През 2004 година Флориан Ваймер предложи метод за логване, наречен Passive DNS, който позволява възстановяване на историята на промените в DNS данните с възможност за индексиране и търсене, които могат да предоставят достъп до следните данни:

• Домейн името
• IP адреса на поисканото домейн име
• Дата и час на отговора
• Тип на отговора
• и т.н.

Данните за Passive DNS се събират от рекурсивни DNS сървъри, вградени модули или чрез перехват на отговори от DNS сървъри, отговорни за зоната.

Рисунок 1. Passive DNS (взето от сайта Ctovision.com)

Характеристика на Passive DNS е, че не е необходимо да се регистрира IP адреса на клиента, което позволява защита на конфиденциалността на потребителите.

В момента съществуват множество услуги, предоставящи достъп до Passive DNS данни:

DNSDB
VirusTotal
PassiveTotal
Octopus
SecurityTrails
Umbrella Investigate

Компанията
Farsight Security
VirusTotal
Riskiq
SafeDNS
SecurityTrails
Cisco

Достъп
По запитване
Не изисква регистрация
Свободна регистрация
По запитване
Не изисква регистрация
По запитване

API
Присъства
Присъства
Присъства
Присъства
Присъства
Присъства

Наличие на клиент
Присъства
Присъства
Присъства
Отсъства
Отсъства
Отсъства

Начало на събиране на данни
2010 година
2013 година
2009 година
Показва само последните 3 месеца
2008 година
2006 година

Таблица 1. Услуги с достъп до Passive DNS данни

Варианти на употреба на Passive DNS

Използвайки Passive DNS, можете да изградите връзки между домейн имена, NS сървъри и IP адреси. Това позволява изграждането на карти на изследваните системи и проследяване на измененията на такава карта от първоначалното откритие до текущия момент.

Също така, Passive DNS улеснява откритията на аномалии в трафика. Например, проследяването на изменения в NS зони и записи от тип A и AAAA позволява откриване на злонамерени сайтове, които използват метода fast flux, предназначен да скрие C&C от откритие и блокиране. Тъй като легитимните домейн имената (освен тези, които се използват за разпределение на натоварването) не променят често своите IP адреси, а повечето легитимни зони рядко променят своите NS сървъри.

Passive DNS, в отличие от прямото търсене на поддомейни чрез речници, позволява да се намерят дори най-ексотичните домейн имена, например “222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru”. Освен това, понякога позволява да се открият тестови (и уязвими) области на уебсайта, материали за разработчици и т.н.

Изследване на връзка от имейл, използвайки Passive DNS

В момента спамът е един от основните начини, по които извършителят прониква на компютъра на жертвата или краде конфиденциална информация. Ще се опитаме да изследваме връзката от такъв имейл, използвайки Passive DNS, за да оценим ефективността на този метод.

Рисунок 2. Спам имейл

Връзката от този имейл води към сайта magnit-boss.rocks, който предлага автоматично събиране на бонуси и получаване на пари:

Рисунок 3. Страница, разположена на домейна magnit-boss.rocks

За изследването на този сайт беше използван API Riskiq, който вече има 3 готови клиента на Python, Ruby и Rust.

Първо, ще разберем всичката история на това домейн име, за което ще използваме командата:

pt-client pdns —query magnit-boss.rocks

Тази команда ще предостави информация за всички DNS резолви, свързани с това домейн име.

Рисунок 4. Отговор от API Riskiq

Нека преобразуваме отговора от API в по-нагледен вид:

Рисунок 5. Всички записи от отговора

За по-нататъшно изследване бяха взети IP адреси, на които това домейн име резолвира към момента на получаване на имейла 01.08.2019, тези IP адреси са: 92.119.113.112 и 85.143.219.65.

Използвайки командата:

pt-client pdns —query

можете да получите всички домейн имена, свързани с тези IP адреси.
IP адрес 92.119.113.112 има 42 уникални домейн имена, които резолвирали в този IP адрес, сред които са имената:

• magnit-boss.club
• igrovie-avtomaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• и др.

IP адрес 85.143.219.65 има 44 уникални домейн имена, които резолвирали в този IP адрес, сред които са имената:

• cvv2.name (сайт за продажба на данни за кредитни карти)
• emaills.world
• www.mailru.space
• и др.

Връзките с тези домейн имена навяват на фишинг, но ние вярваме в добрите хора, затова ще се опитаме да получим бонус в размер на 332 501.72 рубли? След натискане на бутона “ДА”, сайтът ни моли да преведем 300 рубли от картата за отключване на сметката и ни изпраща на сайта as-torpay.info за въвеждане на данни.

Рисунок 6. Главна страница на сайта ac-pay2day.net

На пръв поглед легитимен сайт, предлагащ HTTPS сертификат, а и началната страница предлага свързване на тази платежна система към сайта си, но, за съжаление, всички връзки за свързване не работят. Това доменно име резолвира само в един IP адрес — 190.115.19.74. Той, от своя страна, има 1475 уникални доменни имена, които резолвираха в този IP адрес, сред които са имената като:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• и др.

Както можем да видим, Passive DNS позволява доста бързо и ефективно събиране на данни за изследвания ресурс и дори изграждане на своеобразен отпечатък, позволяващ разкриването на цяла схема за кражба на лични данни, от неговото получаване до вероятното място на продажба.

Рисунок 7. Карта на изследваната система

Не всичко е толкова розово, колкото бихме искали. Например, такива разследвания лесно могат да се сблъскат с CloudFlare или подобни услуги. А ефективността на събираната база зависи в значителна степен от броя DNS заявки, преминаващи през модула за събиране на данни за Passive DNS. Въпреки това Passive DNS остава източник на допълнителна информация за изследователя.

Автор: Специалист в Уралския център за системна безопасност

Източник: habr.com