DNS-tuuneldamine muudab domeeninimede süsteemi häkkerite relvaks. DNS on sisuliselt interneti tohutu telefoniraamat. Samuti on DNS põhiprotokoll, mis võimaldab administraatoritel esitada päringuid DNS-serveri andmebaasi. Kõik tundub arusaadav. Kuid kavalad häkkerid on taipanud, et nad saavad varjatult suhelda rikutud arvutiga, sisestades juhtimisjuhiseid ja andmeid DNS-protokolli. See idee on DNS-tuuneldamise aluseks.
Kuidas DNS-tuuneldamine töötab
Igal asjal internetis on oma protokoll. Ja DNS toetab suhteliselt lihtsat küsimus-vastus tüüpi. Kui soovite näha, kuidas see töötab, võite käivitada nslookup – peamise tööriista DNS-päringute esitamiseks. Saate küsida aadressi, lihtsalt sisestades huvipakkuva domeeninime, näiteks:
Meie puhul vastas protokoll domeeni IP-aadressiga. DNS-protokolli mõistes tegin ma aadressi päringu või nn 'A' tüüpi päringu. On ka teisi päringutüüpe, mille puhul DNS-protokoll vastab erineva andmeväljade kogumiga, mida, nagu me hiljem näeme, saavad kurjategijad ära kasutada.
Nii või teisiti tegeleb DNS-protokoll põhimõtteliselt päringu edastamise ja vastuse tagastamisega kliendile. Aga mis juhtub, kui kurjategija lisab varjatud sõnumi domeeninime päringusse? Näiteks, selle asemel et sisestada täiesti legitiimne URL, sisestab ta andmed, mida soovib edastada:
Oletame, et kurjategijal on juurdepääs DNS-serverile. Sel juhul saab ta edastada andmeid — näiteks isikuandmeid — ja teda ei pruugita avastada. Lõppude lõpuks, miks peaks DNS-päring olema midagi ebaseaduslikku?
Serverit kontrollides saavad häkkerid petta vastuseid ja saata andmeid tagasi sihtsüsteemi. See võimaldab neil edastada sõnumeid, mis on peidetud erinevates DNS-vastuse andmeväljadest, pahavara kaudu nakatunud masinas, juhistega, mis sarnanevad teatud kausta otsimisega.
DNS-i tunnelimise osa rünnakust seisneb monitooringusüsteemide avastamise eest. Häkkerid võivad kasutada base32, base64 ja muid sümbolite kogumeid, või isegi andmeid krüpteerida. Selline kodeering jääb märkamatuks lihtsate ohuavastamise utiliitide eest, mis otsivad avatud tekstis.
Ja see ongi DNS-i tunnelimine!
DNS-i tunnelimise rünnakute ajalugu
Kõigel on algus, sealhulgas ideel DNS-protokolli haaramisest häkkerite eesmärkidel. Üksikasjade põhjal toimus esimene sellise rünnaku üle Oskar Pearsoni poolt Bugtraq'i meililisti kaudu aprillis 1998.
Aastaks 2004 tutvustati DNS-i tunnelimist Black Hat'il häkkerimeetodina Dan Kaminski esituses. Seega kasvas idee väga kiiresti tõeliseks rünnaku tööriistaks.
Täna on DNS-i tunnelimine kindlustanud oma koha (ja infosüsteemide turbeblogijad paluvad sageli selle kohta selgitusi).
Kas olete kuulnud ? Это действующая кампания киберпреступных группировок — скорее всего, спонсируемая государством, — направленная на захват легитимных DNS-серверов с целью перенаправления DNS-запросов на собственные сервера. Это означает, что организации будут получать «плохие» IP-адреса, указывающие на поддельные веб-страницы под управлением хакеров, — например, Google или FedEx. При этом злоумышленники смогут заполучить учётные записи и пароли пользователей, которые те неосознанно введут их на таких поддельных сайтах. Это не DNS-туннелирование, но просто ещё одно скверное последствие контроля DNS-серверов хакерами.
DNS-i tunnelimise ohtudest
DNS-tunnelimine on nagu halva uudise alguse indikaator. Milliseid täpselt? Oleme juba rääkinud mitmest, kuid laske meil need struktureerida:
- Andmete väljaviimine (ekshfiltreerimine) – häkker edastab kriitilisi andmeid salaja DNS-i kaudu. See pole kindlasti kõige tõhusam viis teabe edastamiseks ohvri arvutist – arvestades kõiki kulusid ja kodeeringuid – kuid see töötab ja on samas salajane!
- Juhtimine ja kontroll (Command and Control, lühendatud C2) – häkkerid kasutavad DNS-i protokolli lihtsate juhtimiscommandide saatmiseks, ütleme, läbi (Remote Access Trojan, lühendatud RAT).
- IP-tunnelimine DNS-i kaudu – see võib kõlada hullumeelsena, kuid on olemas utiliite, mis rakendavad IP-stäki DNS-i protokolli päringute ja vastuste peale. See teeb andmete edastamise FTP, Netcat, ssh jne kaudu suhteliselt lihtsaks. Äärmiselt kurja!
DNS-tunnelimise tuvastamine
On kaks peamist meetodit DNS-i kuritarvitamise tuvastamiseks: koormuse analüüs ja liikluse analüüs.
Koormuse analüüsi korral koormuse analüüs kaitsev pool otsib andmete anomaaliaid, mis edastatakse mõlemas suunas ja mida saab avastada statistiliste meetoditega: kahtlaselt näivad hostinimed, DNS-kirjete tüüp, mida ei kasutata piisavalt sageli, või mittestandardne kodeering.
Koormuse analüüsi korral traffic analysis hindab iga domeeni DNS-päringute arvu võrreldes keskmise tasemega. Küberkurjategijad, kes kasutavad DNS-tunnelimist, genereerivad serverile suures mahus liiklust. Teoreetiliselt on see palju suurem kui normaalne DNS-viestluste vahetus. Ja seda on oluline jälgida!
DNS-tunnelimise utiliidid
Kui soovite teha omaenda pentesti ja kontrollida, kui hästi suudab teie ettevõte avastada ja reageerida sarnasele tegevusele, on selleks mitu utiliidi. Kõik nad suudavad tunnelida režiimis IP-Over-DNS:
- – saadaval paljudel platvormidel (Linux, Mac OS, FreeBSD ja Windows). Lubab luua SSH-shelli siht- ja juhtkompuutri vahel. Siin on hea Iodine seadistamise ja kasutamise kohta.
- – DNS tunneling project by Dan Kaminsky, written in Perl. It allows connection via SSH.
- – "The DNS tunnel that won't make you nauseous." It creates an encrypted C2 channel for sending/downloading files, executing shells, etc.
DNS monitoring utilities
Below is a list of several utilities that will be useful for detecting tunneling attacks:
- – A Python module designed for MercenaryHuntFramework and Mercenary-Linux. It reads .pcap files, extracts DNS queries, and performs geolocation matching, which aids in analysis.
- – A Python utility that reads .pcap files and analyzes DNS messages.
Micro FAQ on DNS tunneling
Useful information in the form of questions and answers!
Q: What is tunneling?
A: It is simply a method of transmitting data over an existing protocol. The underlying protocol provides a dedicated channel or tunnel, which is then used to hide the information being transmitted.
Q: When was the first DNS tunneling attack carried out?
A: Me ei tea! Kui tead, palun anna meile teada. Meie teada algatas esimesed arutelud rünnaku üle Oskar Pirsan Bugtraq'i postilisti kaudu aprillis 1998.
Küsimus: Millised rünnakud sarnanevad DNS-tunnelimisega?
A: DNS ei ole kaugeltki ainus protokoll, mida tunneldamiseks kasutada. Näiteks haldamis- ja kontrollitavad pahavara (C2) kasutavad sageli HTTP-d suhtlusteede peitmiseks. Sarnaselt DNS-tunnelimisele varjab häkker oma andmeid, kuid sel juhul näevad nad välja nagu tavalise veebibrauseri liiklus, mis pöördub kauguselt saidi poole (kurjategija kontrolli all). See võib jääda monitorimisprogrammide jaoks märkamatuks, kui need ei ole seadistatud tunnustama HTTP protokolli kuritarvitamist häkkerite eesmärkidel.
Kas soovite, et aitaksime DNS-tunnelimise tuvastamisel? Tutvuge meie mooduliga ja proovige tasuta !
Allikas: habr.com
