מה זה מנהור DNS? הוראות איתור

מנהור DNS הופך את מערכת שמות הדומיין לנשק עבור האקרים. DNS הוא בעצם ספר הטלפונים העצום של האינטרנט. DNS הוא גם הפרוטוקול הבסיסי המאפשר למנהלי מערכת לבצע שאילתות במסד הנתונים של שרת ה-DNS. עד כאן הכל נראה ברור. אבל האקרים ערמומיים הבינו שהם יכולים לתקשר בסתר עם המחשב הקורבן על ידי הזרקת פקודות שליטה ונתונים לפרוטוקול DNS. רעיון זה הוא הבסיס למנהור DNS.

כיצד פועל מנהור DNS

לכל דבר באינטרנט יש פרוטוקול נפרד משלו. ותמיכת DNS פשוטה יחסית פרוטוקול סוג בקשה-תגובה. אם אתה רוצה לראות איך זה עובד, אתה יכול להפעיל את nslookup, הכלי העיקרי לביצוע שאילתות DNS. אתה יכול לבקש כתובת פשוט על ידי ציון שם הדומיין שאתה מעוניין בו, לדוגמה:

במקרה שלנו, הפרוטוקול הגיב עם כתובת ה-IP של הדומיין. מבחינת פרוטוקול ה-DNS, עשיתי בקשת כתובת או מה שנקרא בקשה. "סוג. ישנם סוגים אחרים של בקשות, ופרוטוקול ה-DNS יגיב עם סט שונה של שדות נתונים, שכפי שנראה בהמשך, האקרים יכולים לנצל אותם.

כך או אחרת, בבסיסו, פרוטוקול ה-DNS עוסק בהעברת בקשה לשרת ותגובתו חזרה ללקוח. מה אם תוקף מוסיף הודעה נסתרת בתוך בקשת שם דומיין? לדוגמה, במקום להזין כתובת URL לגיטימית לחלוטין, הוא יזין את הנתונים שהוא רוצה לשדר:

נניח שתוקף שולט בשרת ה-DNS. לאחר מכן הוא יכול להעביר נתונים - נתונים אישיים, למשל - מבלי שיזוהו בהכרח. אחרי הכל, למה שאילתת DNS תהפוך פתאום למשהו לא לגיטימי?

על ידי שליטה בשרת, האקרים יכולים לזייף תגובות ולשלוח נתונים חזרה למערכת היעד. זה מאפשר להם להעביר הודעות מוסתרות בשדות שונים של תגובת ה-DNS לתוכנה הזדונית במחשב הנגוע, עם הוראות כמו חיפוש בתוך תיקיה ספציפית.

החלק ה"מנהור" של המתקפה הזו הוא הַסתָרָה נתונים ופקודות מזיהוי על ידי מערכות ניטור. האקרים יכולים להשתמש בערכות תווים של base32, base64 וכו', או אפילו להצפין את הנתונים. קידוד כזה יעבור ללא זיהוי על ידי כלי עזר פשוטים לזיהוי איומים שמחפשים בטקסט הפשוט.

וזהו מנהור DNS!

היסטוריה של התקפות מנהור DNS

לכל דבר יש התחלה, כולל הרעיון של חטיפת פרוטוקול ה-DNS למטרות פריצה. עד כמה שאנחנו יכולים לדעת, הראשון את הדיון מתקפה זו בוצעה על ידי אוסקר פירסון ברשימת התפוצה של בוגטראק באפריל 1998.

עד 2004, מנהור DNS הוצג ב-Black Hat כטכניקת פריצה במצגת של דן קמינסקי. כך, הרעיון צמח מהר מאוד לכלי התקפה אמיתי.

כיום, מנהור DNS תופס מקום בטוח על המפה איומים אפשריים (ובלוגרים לאבטחת מידע מתבקשים לעתים קרובות להסביר זאת).

האם שמעת על צב ים ? זהו קמפיין מתמשך של קבוצות פושעי סייבר - ככל הנראה בחסות המדינה - לחטיפת שרתי DNS לגיטימיים כדי להפנות בקשות DNS לשרתים שלהם. המשמעות היא שארגונים יקבלו כתובות IP "גרועות" המצביעות על דפי אינטרנט מזויפים המנוהלים על ידי האקרים, כמו גוגל או פדקס. במקביל, תוקפים יוכלו להשיג חשבונות משתמש וסיסמאות, שיכניסו אותם מבלי לדעת באתרים מזויפים שכאלה. זה לא מנהור DNS, אלא רק עוד תוצאה מצערת של האקרים השולטים בשרתי DNS.

איומי מנהור DNS

מנהור DNS הוא כמו אינדיקטור לתחילת שלב החדשות הרעות. איזה מהם? כבר דיברנו על כמה, אבל בואו נבנה אותם:

• פלט נתונים (אקספילטרציה) - האקר מעביר בסתר נתונים קריטיים דרך DNS. זו בהחלט לא הדרך היעילה ביותר להעביר מידע מהמחשב הנפגע – בהתחשב בכל העלויות והקידודים – אבל היא עובדת, ובמקביל – בסתר!
• פיקוד ובקרה (בקיצור C2) - האקרים משתמשים בפרוטוקול DNS כדי לשלוח פקודות שליטה פשוטות דרך, למשל, טרויאני גישה מרחוק (גישה מרחוק Trojan, בקיצור RAT).
• מנהור IP-over-DNS - זה אולי נשמע מטורף, אבל יש כלי עזר שמיישמים ערימת IP על גבי בקשות ותגובות פרוטוקול DNS. זה מבצע העברת נתונים באמצעות FTP, Netcat, ssh וכו'. משימה פשוטה יחסית. מבשר רעות ביותר!

זיהוי מנהור DNS

ישנן שתי שיטות עיקריות לאיתור שימוש לרעה ב-DNS: ניתוח עומס וניתוח תעבורה.

ב ניתוח עומסים הצד המגן מחפש חריגות בנתונים הנשלחים הלוך ושוב שניתן לזהות בשיטות סטטיסטיות: שמות מארחים בעלי מראה מוזר, סוג רשומת DNS שלא נעשה בו שימוש בתדירות גבוהה, או קידוד לא סטנדרטי.

ב ניתוח תנועה מספר בקשות ה-DNS לכל תחום מוערך בהשוואה לממוצע הסטטיסטי. תוקפים המשתמשים במנהור DNS ייצרו כמות גדולה של תעבורה לשרת. בתיאוריה, עדיף באופן משמעותי על חילופי הודעות DNS רגילים. וזה צריך להיות במעקב!

כלי עזר למנהור DNS

אם ברצונך לערוך את מבחן ההתעמקות שלך ולראות עד כמה החברה שלך יכולה לזהות פעילות כזו ולהגיב עליה, יש מספר כלי עזר לכך. כולם יכולים לבצע מנהור במצב IP-over-DNS:

• יוד – זמין בפלטפורמות רבות (Linux, Mac OS, FreeBSD ו-Windows). מאפשר לך להתקין מעטפת SSH בין מחשבי המטרה והמחשבים הבקרה. זה אחד טוב להנחות על הגדרה ושימוש ביוד.
• OzymanDNS – פרויקט מנהור DNS מבית דן קמינסקי, כתוב בפרל. אתה יכול להתחבר אליו דרך SSH.
• DNSCat2 - "מנהרת DNS שלא עושה אותך חולה." יוצר ערוץ C2 מוצפן לשליחת/הורדת קבצים, השקת מעטפות וכו'.

כלי עזר לניטור DNS

להלן רשימה של מספר כלי עזר שיהיו שימושיים לזיהוי התקפות מנהור:

• dnsHunter – מודול Python שנכתב עבור MercenaryHuntFramework ו-Mersenary-Linux. קורא קבצי .pcap, מחלץ שאילתות DNS ומבצע מיפוי מיקום גיאוגרפי כדי לסייע בניתוח.
• reassemble_dns – כלי עזר של Python שקורא קבצי .pcap ומנתח הודעות DNS.

מיקרו שאלות נפוצות בנושא מנהור DNS

מידע שימושי בצורת שאלות ותשובות!

ש: מה זה מנהור?
אודות: זו פשוט דרך להעביר נתונים על גבי פרוטוקול קיים. הפרוטוקול הבסיסי מספק ערוץ או מנהרה ייעודיים, המשמשים לאחר מכן להסתרת המידע המועבר בפועל.

ש: מתי בוצעה מתקפת מנהור ה-DNS הראשונה?
אודות: אנחנו לא יודעים! אם אתה יודע, אנא הודע לנו. למיטב ידיעתנו, את הדיון הראשון בתקיפה יזם אוסקר פירסאן ברשימת התפוצה של בוגטראק באפריל 1998.

ש: אילו התקפות דומות למנהור DNS?
אודות: DNS רחוק מלהיות הפרוטוקול היחיד שניתן להשתמש בו למנהור. לדוגמה, תוכנות זדוניות לפיקוד ובקרה (C2) משתמשות לעתים קרובות ב-HTTP כדי להסוות את ערוץ התקשורת. כמו במנהור DNS, ההאקר מסתיר את הנתונים שלו, אבל במקרה זה זה נראה כמו תעבורה מדפדפן אינטרנט רגיל הניגשת לאתר מרוחק (שנשלט על ידי התוקף). זה עשוי להיעלם מתוכניות ניטור אם הן לא מוגדרות לתפוס האיום שימוש לרעה בפרוטוקול HTTP למטרות האקרים.

האם תרצה שנעזור בזיהוי מנהרת DNS? בדוק את המודול שלנו וארוניס אדג' ולנסות את זה בחינם הדגמה!

מקור: www.habr.com