ProHoster > Blogs > Administrācija > Pasīvā DNS analītiķa rokās

Pasīvā DNS analītiķa rokās

Domēnu vārdu sistēma (DNS) ir lÄ«dzÄ«ga telefongrāmatai, kas pārveido lietotājam draudzÄ«gas nosaukumus, piemēram, "ussc.ru", IP adresēs. Tā kā DNS aktivitāte ir klātesoÅ”a gandrÄ«z visos saziņas sesijās, neatkarÄ«gi no protokola, DNS žurnālfaili ir vērtÄ«gs datu avots informācijas droŔības speciālistiem, ļaujot tiem atklāt anomālijas vai iegÅ«t papildus datus par pētāmo sistēmu.

2004. gadā Florijans Veimers ieteica žurnālfailu metodi, ko sauc par Passive DNS, ļaujot atjaunot DNS datu izmaiņu vēsturi ar iespēju indeksēt un meklēt, kas var sniegt piekļuvi sekojoÅ”iem datiem:

  • Domēna vārds
  • IP adrese pieprasÄ«tā domēna vārda
  • Atbildes datums un laiks
  • Atbildes veids
  • utt.

Dati par Passive DNS tiek vākti no rekursÄ«vajiem DNS serveriem iebÅ«vēto moduļu vai DNS serveru atbilžu pārtverÅ”anas ceļā, kas ir atbildÄ«gi par zonu.

Pasīvā DNS analītiķa rokās

Attēls 1. Passive DNS (ņemts no vietnes Ctovision.com)

Passive DNS Ä«paŔība ir tā, ka nav nepiecieÅ”ams reÄ£istrēt klienta IP adresi, kas ļauj aizsargāt lietotāju privātumu.

PaŔlaik ir daudz pakalpojumu, kas nodroŔina piekļuvi Passive DNS datiem:

DNSDB
VirusTotal
PassiveTotal
Octopus
SecurityTrails
Umbrella Investigate

Uzņēmums
Farsight Security
VirusTotal
Riskiq
SafeDNS
SecurityTrails
(CallManager),

Piekļuve
Pēc pieprasījuma
Nav nepiecieŔama reģistrācija
Brīva reģistrācija
Pēc pieprasījuma
Nav nepiecieŔama reģistrācija
Pēc pieprasījuma

API
Ir klients
Ir klients
Ir klients
Ir klients
Ir klients
Ir klients

Datu vākŔanas sākums
Ir klients
Ir klients
Ir klients
Nav
Nav
Nav

2010. gads
2013. gads
2009. gads
Rāda tikai pēdējos 3 mēneÅ”us
2008. gads
2006. gads
Tabula 1. Pakalpojumi ar piekļuvi Passive DNS datiem

Passive DNS izmantoÅ”anas iespējas

Izmantojot Passive DNS, var izveidot saites starp domēnu nosaukumiem, NS serveriem un IP adresēm. Tas ļauj veidot pētāmo sistēmu kartes un sekot Ŕīs kartes izmaiņām no pirmā atklājuma lÄ«dz Å”im brÄ«dim.

Passive DNS arÄ« atvieglo anomāliju atklāŔanu satiksmē. Piemēram, izsekojot izmaiņām NS zonās un A un AAAA tipu ierakstos, var atklāt ļaunprātÄ«gas vietnes, kas izmanto ātrā plÅ«sma metodi, lai slēptu C&C no atklāŔanas un bloÄ·Ä“Å”anas. Tā kā leÄ£itÄ«mi domēnu nosaukumi (izņemot tos, kas tiek izmantoti slodzes sadalÄ«Å”anai) nereti nemaina savus IP adreses, un lielākā daļa leÄ£itÄ«mo zonu reti maina savus NS serverus.

Passive DNS arÄ« atvieglo anomāliju atklāŔanu tÄ«kla trafika plÅ«smā. Piemēram, sekoÅ”ana izmaiņām NS zonās un A un AAAA ierakstos ļauj identificēt ļaunprātÄ«gas vietnes, kas izmanto fast flux metodi, lai slēptu C&C no atklāŔanas un bloÄ·Ä“Å”anas. Tā kā likumÄ«gi domēna nosaukumi (izņemot tos, kas tiek izmantoti slodzes sadalÄ«Å”anai) neizmaina savas IP adreses bieži, un lielākā daļa likumÄ«gu zonu reti maina savus NS serverus.

Passive DNS, atŔķirÄ«bā no tieÅ”as apakÅ”domēnu meklÄ“Å”anas caur vārdnÄ«cām, ļauj atrast pat vissarežģītākos domēna nosaukumus, piemēram, ā€œ222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ruā€. Tas dažreiz arÄ« ļauj atrast testÄ“Å”anas (un ievainojamas) tÄ«mekļa vietnes, izstrādātāju materiālus utt.

Saite no vēstules pētniecība, izmantojot Passive DNS

PaÅ”laik surogātpasts ir viens no galvenajiem veidiem, kā uzbrucējs iekļūst upura datorā vai zog konfidenciālu informāciju. Mēģināsim izpētÄ«t saiti no Ŕādas vēstules, izmantojot Passive DNS, lai novērtētu Ŕī metode efektivitāti.

Pasīvā DNS analītiķa rokās

Attēls 2. Surogātpasta vēstule

Saite no Ŕīs vēstules noveda uz vietni magnit-boss.rocks, kas piedāvāja automātiski krāt bonusus un saņemt naudu:

Pasīvā DNS analītiķa rokās

Attēls 3. Lapa, kas izvietota domēnā magnit-boss.rocks

Å Ä« vietnes izpētÄ«Å”anai tika izmantots API Riskiq, kas jau ir 3 gatavi klienti par Python, Ruby un Rust.

Vispirms noskaidrosim visu Å”o domēna nosaukuma vēsturi, tam izmantosim komandu:

pt-client pdns ā€”query magnit-boss.rocks

Å Ä« komanda izsniegs informāciju par visiem DNS pieprasÄ«jumiem, kas saistÄ«ti ar Å”o domēna nosaukumu.

Pasīvā DNS analītiķa rokās

Attēls 4. Atbilde no API Riskiq

Pārvērtīsim atbildi no API uz saprotamāku formu:

Pasīvā DNS analītiķa rokās

Attēls 5. Visas ieraksti no atbildes

Tālākai izpētei tika ņemti IP adreses, uz kurām Å”is domēna nosaukums tika novirzÄ«ts vēstules saņemÅ”anas brÄ«dÄ« 01.08.2019, Ŕīs IP adreses ir 92.119.113.112 un 85.143.219.65.

Izmantojot komandu:

pt-client pdns ā€”query

varam iegÅ«t visus domēna nosaukumus, kas saistÄ«ti ar Ŕīm IP adresēm.
IP adrese 92.119.113.112 ir 42 unikālu domēna nosaukumu, kas tika novirzÄ«ti uz doto IP adresi, to vidÅ« ir Ŕādi nosaukumi:

  • magnit-boss.club
  • igrovie-avtomaty.me
  • pro-x-audit.xyz
  • zep3-www.xyz
  • utt.

IP adrese 85.143.219.65 ir 44 unikālu domēna nosaukumu, kas tika novirzÄ«ti uz doto IP adresi, to vidÅ« ir Ŕādi nosaukumi:

  • cvv2.name (vietne kredÄ«tkartes datu pārdoÅ”anai)
  • emaills.world
  • www.mailru.space
  • utt.

Savienojumi ar Å”iem domēna nosaukumiem var liecināt par krāpniecÄ«bu, bet mēs taču ticam labiem cilvēkiem, tāpēc mēģināsim iegÅ«t bonusu 332 501.72 rubļu? Pēc pogas ā€œJĀā€ nospieÅ”anas vietne lÅ«dz mÅ«s pārskaitÄ«t 300 rubļus no kartes konta, lai atbloķētu kontu, un nosÅ«ta mÅ«s uz vietni as-torpay.info datu ievadei.

Pasīvā DNS analītiķa rokās

Attēls 6. Vietnes ac-pay2day.net sākumlapa

No pirmā acu uzmetiena tas izskatās kā legāla vietne, pieejams HTTPS sertifikāts, un galvenā lapa pat piedāvā pievienot Å”o maksājumu sistēmu savai vietnei, bet, diemžēl, visi saites uz pieslēgÅ”anu nedarbojas. Å is domēna vārds risinās tikai uz 1 IP adresi ā€” 190.115.19.74. Å ai IP adresei ir 1475 unikāli domēna vārdi, kas ir risināti uz Å”o IP adresi, tostarp tādi nosaukumi kā:

  • ac-pay2day.net
  • ac-payfit.com
  • as-manypay.com
  • fletkass.net
  • as-magicpay.com
  • utt.

Kā mēs varam redzēt, Passive DNS ļauj samērā ātri un efektÄ«vi apkopot datus par pētÄ«to resursu un pat izveidot sava veida pirkstu nospiedumu, kas ļauj atklāt visu shēmu par personisko datu zādzÄ«bu, no to iegÅ«Å”anas lÄ«dz iespējamo pārdoÅ”anas vietu.

Pasīvā DNS analītiķa rokās

Attēls 7. Pētāmās sistēmas karte

Nav viss tā rozā, kā mēs vēlētos. Piemēram, Ŕādas izmeklÄ“Å”anas viegli var satrÅ«kt pie CloudFlare vai lÄ«dzÄ«giem pakalpojumiem. Un apkopoto datu efektivitāte ļoti atkarÄ«ga no DNS pieprasÄ«jumu skaita, kas iet caur moduli, kas apkopojas Passive DNS datus. Tomēr, neskatoties uz to, Passive DNS ir papildu informācijas avots pētniekam.

Autors: Uralas droŔības sistēmu centra speciālists

Avots: habr.com

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster