Il sistema dei nomi di dominio (DNS) è simile a una rubrica telefonica, che traduce nomi comprensibili agli utenti, come "ussc.ru", in indirizzi IP. Poiché l'attività del DNS è presente in praticamente tutte le sessioni di comunicazione, indipendentemente dal protocollo, la registrazione del DNS rappresenta una fonte di dati preziosa per un esperto di sicurezza informatica, consentendo di rilevare anomalie o ottenere ulteriori informazioni sul sistema in esame.
Nel 2004 Florian Weimer ha proposto un metodo di registrazione noto come Passive DNS, che consente di ricostruire la cronologia delle modifiche ai dati DNS con la possibilità di indicizzazione e ricerca, che possono fornire accesso ai seguenti dati:
- Il nome di dominio
- L'indirizzo IP del nome di dominio richiesto
- Data e ora della risposta
- Tipo di risposta
- ecc.
I dati per il Passive DNS vengono raccolti da server DNS ricorsivi tramite moduli integrati o mediante l'intercettazione delle risposte dai server DNS responsabili della zona.
Figura 1. Passive DNS (preso dal sito )
La caratteristica del Passive DNS è che non è necessario registrare l'indirizzo IP del cliente, il che consente di proteggere la privacy degli utenti.
Attualmente esistono molti servizi che forniscono accesso ai dati del Passive DNS:
Azienda
Farsight Security
VirusTotal
Riskiq
SafeDNS
SecurityTrails
Cisco
Accesso
Su richiesta
Non richiede registrazione
Registrazione libera
Su richiesta
Non richiede registrazione
Su richiesta
API
Presente
Presente
Presente
Presente
Presente
Presente
Disponibilità del cliente
Presente
Presente
Presente
Assente
Assente
Assente
Inizio raccolta dati
2010
2013
2009
Visualizza solo gli ultimi 3 mesi
2008
2006
Tabella 1. Servizi con accesso ai dati del Passive DNS
Opzioni di utilizzo del Passive DNS
Utilizzando il Passive DNS è possibile stabilire relazioni tra nomi di dominio, server NS e indirizzi IP. Questo consente di costruire mappe dei sistemi in esame e monitorare le modifiche di tale mappa dalla prima rilevazione fino al momento attuale.
Inoltre, il Passive DNS facilita l'identificazione delle anomalie nel traffico. Ad esempio, monitorare le modifiche nelle zone NS e nei record di tipo A e AAAA consente di identificare siti dannosi che utilizzano il metodo fast flux, progettato per nascondere C&C dalla rilevazione e dal blocco. Poiché i nomi di dominio legittimi (eccezion fatta per quelli utilizzati per la distribuzione del carico) non cambiano spesso i loro indirizzi IP, e la maggior parte delle zone legittime raramente cambia i propri server NS.
Il DNS passivo, a differenza della scansione diretta dei sottodomini tramite dizionari, consente di trovare persino i nomi di dominio più esotici, come "222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru". Inoltre, a volte permette di scoprire aree di test (e vulnerabili) di un sito web, materiali per sviluppatori e simili.
Analisi del link contenuto nella lettera utilizzando il DNS passivo
Attualmente, lo spam è uno dei principali modi attraverso cui un malintenzionato penetra nel computer della vittima o ruba informazioni riservate. Proviamo a analizzare il link di una di queste e-mail utilizzando il DNS passivo per valutare l'efficacia di questo metodo.
Figura 2. E-mail spam
Il link di questa e-mail portava al sito magnit-boss.rocks, che prometteva di raccogliere bonus automaticamente e ottenere denaro:
Figura 3. Pagina ospitata sul dominio magnit-boss.rocks
Per analizzare questo sito è stato utilizzato , che ha già 3 clienti pronti su , e .
Innanzitutto, scopriamo tutta la storia di questo nome di dominio utilizzando il comando:
pt-client pdns —query magnit-boss.rocks
Questo comando fornirà informazioni su tutte le risoluzioni DNS associate a questo nome di dominio.
Figura 4. Risposta dall'API Riskiq
Rendiamo la risposta dell'API più chiara:
Figura 5. Tutti i record dalla risposta
Per ulteriori indagini sono stati presi gli indirizzi IP a cui questo nome di dominio risolveva al momento della ricezione dell'e-mail il 01.08.2019, che sono i seguenti indirizzi 92.119.113.112 e 85.143.219.65.
Utilizzando il comando:
pt-client pdns —query
è possibile ottenere tutti i nomi di dominio associati a questi indirizzi IP.
L'indirizzo IP 92.119.113.112 ha 42 nomi di dominio unici che risolvevano a questo indirizzo IP, tra i quali ci sono i seguenti nomi:
- magnit-boss.club
- igrovie-avtomaty.me
- pro-x-audit.xyz
- zep3-www.xyz
- e altri
L'indirizzo IP 85.143.219.65 ha 44 nomi di dominio unici che risolvevano a questo indirizzo IP, tra cui ci sono i seguenti nomi:
- cvv2.name (sito per la vendita di dati di carte di credito)
- emaills.world
- www.mailru.space
- e altri
I legami con questi nomi di dominio suggeriscono un attacco di phishing, ma noi crediamo nelle persone buone, quindi cerchiamo di ricevere un bonus di 332501.72 rubli? Dopo aver premuto il pulsante “SÌ”, il sito ci chiede di trasferire 300 rubli dalla carta per sbloccare l'account e ci inoltra al sito as-torpay.info per inserire i dati.
Figura 6. Pagina principale del sito ac-pay2day.net
Sembra un sito legale, c'è un certificato https, e la homepage offre di collegare questo sistema di pagamento al proprio sito, ma purtroppo tutti i link per il collegamento non funzionano. Questo nome di dominio risolve solo in 1 indirizzo IP — 190.115.19.74. Questo a sua volta ha 1475 nomi di dominio unici che si sono risolti in questo indirizzo IP, tra cui nomi come:
- ac-pay2day.net
- ac-payfit.com
- as-manypay.com
- fletkass.net
- as-magicpay.com
- e altri
Come possiamo vedere, il Passive DNS consente di raccogliere dati sul risorse esaminate in modo piuttosto rapido ed efficiente e persino di costruire una sorta di impronta che consente di rivelare un intero schema di furto di dati personali, dalla sua acquisizione al probabile luogo di vendita.
Figura 7. Mappa del sistema esaminato
Non è tutto roseo come vorremmo. Ad esempio, tali indagini possono facilmente incappare in CloudFlare o servizi simili. L'efficacia del database raccolto dipende molto dal numero di richieste DNS che passano attraverso il modulo per la raccolta dei dati Passive DNS. Tuttavia, il Passive DNS rimane una fonte di informazioni aggiuntive per l'investigatore.
Autore: Specialista del Centro Uralico di Sicurezza dei Sistemi
Fonte: habr.com
