Пасивен DNS во рацете на аналитичар

Системот за имиња на домени (DNS) е како телефонски именик кој преведува кориснички имиња како „ussc.ru“ во IP адреси. Бидејќи активноста на DNS е присутна во скоро сите комуникациски сесии, без оглед на протоколот. Така, евиденцијата на DNS е вреден извор на податоци за специјалистите за информациска безбедност, овозможувајќи им да детектираат аномалии или да добијат дополнителни податоци за системот што се проучува.

Во 2004 година, Флоријан Вајмер предложи метод за логирање наречен Пасивен DNS, кој ви овозможува да ја вратите историјата на промените на податоците на DNS со можност за индексирање и пребарување, што може да обезбеди пристап до следните податоци:

• Име на домен
• IP адреса на бараното име на домен
• Датум и време на одговор
• Тип на одговор
• итн

Податоците за пасивни DNS се собираат од рекурзивни DNS сервери со вградени модули или со пресретнување на одговори од DNS сервери одговорни за зоната.

Слика 1. Пасивен DNS (преземен од страницата Ctovision.com)

Карактеристика на пасивниот DNS е тоа што нема потреба да се регистрира IP адресата на клиентот, што помага да се заштити приватноста на корисникот.

Во моментов, постојат многу услуги кои обезбедуваат пристап до податоците за пасивни DNS:

DNSDB
VirusTotal
Пасивен Вкупно
Октопод
Безбедносни патеки
Чадор Истражете

компанијата
Далечна безбедност
VirusTotal
Рискик
SafeDNS
Безбедносни патеки
Cisco

Пристап
На барање
Не бара регистрација
Регистрацијата е бесплатна
На барање
Не бара регистрација
На барање

API
Присутни
Присутни
Присутни
Присутни
Присутни
Присутни

Достапност на клиент
Присутни
Присутни
Присутни
Никој
Никој
Никој

Почеток на собирање податоци
2010 година
2013 година
2009 година
Ги прикажува само последните 3 месеци
2008 година
2006 година

Табела 1. Услуги со пристап до пасивни DNS податоци

Користете случаи за пасивен DNS

Користејќи пасивен DNS, можете да изградите врски помеѓу имиња на домени, NS сервери и IP адреси. Ова ви овозможува да изградите мапи на системите што се проучуваат и да ги следите промените на таквата мапа од првото откритие до сегашниот момент.

Пасивниот DNS го олеснува и откривањето на сообраќајните аномалии. На пример, следењето на промените во NS зоните и записите од типот A и AAAA ви овозможува да идентификувате малициозни локации кои користат метод на брз тек, дизајниран да го скрие C&C од откривање и блокирање. Бидејќи легитимните имиња на домени (освен оние што се користат за балансирање на оптоварување) нема често да ги менуваат нивните IP адреси, а повеќето легитимни зони ретко ги менуваат своите NS сервери.

Пасивниот DNS, за разлика од директното пребарување на поддомени со помош на речници, ви овозможува да ги најдете дури и најегзотичните имиња на домени, на пример „222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru“. Исто така, понекогаш ви овозможува да пронајдете области за тестирање (и ранливи) на веб-страницата, материјали за програмери итн.

Истражување на врска од е-пошта користејќи пасивен DNS

Во моментов, спам е еден од главните начини преку кои напаѓачот продира во компјутерот на жртвата или краде доверливи информации. Ајде да се обидеме да ја испитаме врската од такво писмо користејќи Пасивен DNS за да ја оцениме ефективноста на овој метод.

Слика 2. Спам е-пошта

Врската од ова писмо доведе до страницата magnit-boss.rocks, која понуди автоматски да собира бонуси и да прима пари:

Слика 3. Страна хостирана на доменот magnit-boss.rocks

За да ја проучувам оваа страница, користев API Riskiq, кој веќе има 3 готови клиенти на Пајтон, Руби и Руст.

Пред сè, ќе ја дознаеме целата историја на ова име на домен, за ова ќе ја користиме командата:

pt-client pdns — прашалник magnet-boss.rocks

Оваа команда ќе прикаже информации за сите решенија за DNS поврзани со ова име на домен.

Слика 4. Одговор од Riskiq API

Ајде да го ставиме одговорот од API во повизуелна форма:

Слика 5. Сите записи од одговорот

За понатамошно истражување, ги зедовме IP-адресите на кои се реши ова име на домен во моментот на примена на писмото на 01.08.2019 година, такви IP адреси се следните адреси 92.119.113.112 и 85.143.219.65.

Користејќи ја командата:

pt-client pdns --query

можете да ги добиете сите имиња на домени кои се поврзани со овие IP адреси.
IP адресата 92.119.113.112 има 42 уникатни имиња на домени кои се решаваат на оваа IP адреса, меѓу кои се следниве имиња:

• магнет-шеф.клуб
• игровие-автомати.ме
• про-х-ревизија.xyz
• zep3-www.xyz
• и други

IP адресата 85.143.219.65 има 44 уникатни имиња на домени кои се решаваат на оваа IP адреса, меѓу кои се следните имиња:

• cvv2.name (страница за продажба на податоци за кредитна картичка)
• електронски пораки.светот
• www.mailru.space
• и други

Врските со овие имиња на домени сугерираат фишинг, но ние веруваме во добри луѓе, па ајде да се обидеме да добиеме бонус од 332 рубли? Откако ќе кликнете на копчето „ДА“, страницата бара од нас да пренесеме 501.72 рубли од картичката за да ја отклучиме сметката и нè испраќа на страницата as-torpay.info за да внесеме податоци.

Слика 6. Почетна страница на страницата ac-pay2day.net

Изгледа како правен сајт, има сертификат https, а главната страница нуди да го поврзете овој систем за плаќање со вашата страница, но, за жал, сите врски за поврзување не функционираат. Ова име на домен се решава на само 1 IP адреса - 190.115.19.74. Тој, пак, има 1475 уникатни имиња на домени кои се решаваат на оваа IP адреса, вклучувајќи ги и имињата како што се:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• и други

Како што можеме да видиме, пасивниот DNS ви овозможува брзо и ефикасно собирање податоци за ресурсот што се проучува, па дури и да изградите еден вид отпечаток од прст што ви овозможува да откриете цела шема за кражба на лични податоци, од нивното примање до веројатното место на продажба.

Слика 7. Карта на системот што се проучува

Не е сè толку розово како што би сакале. На пример, таквите истраги лесно може да пропаднат на CloudFlare или слични услуги. И ефективноста на собраната база на податоци во голема мера зависи од бројот на барања за DNS што минуваат низ модулот за собирање пасивни DNS податоци. Но, сепак, пасивниот DNS е извор на дополнителни информации за истражувачот.

Автор: специјалист на Уралскиот центар за безбедносни системи

Извор: www.habr.com