Пасивни ДНС у рукама аналитичара

Систем имена домена (ДНС) је попут телефонског именика који преводи корисничка имена попут „уссц.ру“ у ИП адресе. Пошто је ДНС активност присутна у скоро свим комуникацијским сесијама, без обзира на протокол. Дакле, ДНС евидентирање је драгоцен извор података за специјалисте за безбедност информација, омогућавајући им да открију аномалије или добију додатне податке о систему који се истражује.

Флориан Веимер је 2004. године предложио метод евидентирања под називом Пасивни ДНС, који вам омогућава да вратите историју промена ДНС података уз могућност индексирања и претраживања, што може да обезбеди приступ следећим подацима:

• Доменное име
• ИП адреса траженог имена домена
• Датум и време одговора
• Врста одговора
• итд

Подаци за пасивни ДНС се прикупљају са рекурзивних ДНС сервера помоћу уграђених модула или пресретања одговора са ДНС сервера одговорних за зону.

Слика 1. Пасивни ДНС (преузето са сајта Цтовисион.цом)

Посебност пасивног ДНС-а је у томе што нема потребе да се региструје ИП адреса клијента, што помаже у заштити приватности корисника.

Тренутно постоји много услуга које пружају приступ пасивним ДНС подацима:

ДНСДБ
ВирусТотал
ПассивеТотал
Хоботница
СецуритиТраилс
Умбрелла Инвестигате

компанија
Фарсигхт Сецурити
ВирусТотал
Рискик
СафеДНС
СецуритиТраилс
Cisco

Приступ
На захтев
Не захтева регистрацију
Регистрација је бесплатна
На захтев
Не захтева регистрацију
На захтев

АПИ за
Поклон
Поклон
Поклон
Поклон
Поклон
Поклон

Присуство купаца
Поклон
Поклон
Поклон
Ниједан
Ниједан
Ниједан

Почетак прикупљања података
КСНУМКС година
КСНУМКС година
КСНУМКС година
Приказује само последња 3 месеца
КСНУМКС година
КСНУМКС година

Табела 1. Услуге са приступом пасивним ДНС подацима

Случајеви употребе за пасивни ДНС

Коришћењем пасивног ДНС-а можете изградити везе између имена домена, НС сервера и ИП адреса. Ово вам омогућава да направите мапе система који се проучавају и да пратите промене на таквој мапи од првог открића до тренутног тренутка.

Пасивни ДНС такође олакшава откривање саобраћајних аномалија. На пример, праћење промена у НС зонама и записима типа А и АААА омогућава вам да идентификујете злонамерне сајтове помоћу методе брзог протока, дизајниране да сакрије Ц&Ц од откривања и блокирања. Зато што легитимна имена домена (са изузетком оних који се користе за балансирање оптерећења) неће често мењати своје ИП адресе, а већина легитимних зона ретко мења своје НС сервере.

Пасивни ДНС, за разлику од директног набрајања поддомена помоћу речника, омогућава вам да пронађете чак и најегзотичнија имена домена, на пример, „222кмкацаикааааазибк4ааидхмбкааа0ундефинед7140ц0.п.хофф.ру“. Такође вам понекад омогућава да пронађете пробне (и рањиве) области веб локације, материјале за програмере итд.

Истраживање везе из е-поште помоћу пасивног ДНС-а

Тренутно је нежељена пошта један од главних начина на који нападач продире у рачунар жртве или краде поверљиве информације. Покушајмо да испитамо везу из такве е-поште користећи пасивни ДНС да бисмо проценили ефикасност ове методе.

Слика 2. Нежељена пошта

Веза из овог писма водила је до сајта магнит-босс.роцкс, који је понудио да аутоматски прикупља бонусе и прима новац:

Слика 3. Страница која се налази на домену магнит-босс.роцкс

За проучавање овог сајта је коришћен Рискик АПИ, који већ има 3 готова клијента на Питон, рубин и Рђа.

Пре свега, сазнаћемо целу историју овог имена домена, за то ћемо користити наредбу:

пт-цлиент пднс --куери магнит-босс.роцкс

Ова команда ће вратити информације о свим ДНС резолуцијама повезаним са овим именом домена.

Слика 4. Одговор Рискик АПИ-ја

Хајде да доведемо одговор из АПИ-ја у визуелнији облик:

Слика 5. Сви уноси из одговора

За даље истраживање узели смо ИП адресе на које је ово име домена решено у тренутку када је писмо примљено 01.08.2019., те ИП адресе су следеће адресе 92.119.113.112 и 85.143.219.65.

Користећи команду:

пт-цлиент пднс --куери

можете добити сва имена домена која су повезана са овим ИП адресама.
ИП адреса 92.119.113.112 има 42 јединствена имена домена која су се разрешила на ову ИП адресу, међу којима су и следећа имена:

• магнет-босс.цлуб
• игровие-аутомати.ме
• про-к-аудит.киз
• зеп3-ввв.киз
• и други

ИП адреса 85.143.219.65 има 44 јединствена имена домена која су се решила на ову ИП адресу, међу којима су и следећа имена:

• цвв2.наме (сајт за продају података о кредитним картицама)
• емаилс.ворлд
• ввв.маилру.спаце
• и други

Везе са овим именима домена доводе до пхисхинг-а, али ми верујемо у љубазне људе, па хајде да покушамо да добијемо бонус од 332 рубаља? Након клика на дугме „ДА“, сајт од нас тражи да пренесемо 501.72 рубаља са картице да би откључали налог и шаље нас на сајт ас-торпаи.инфо да унесемо податке.

Слика 6. Почетна страница сајта ац-паи2даи.нет

Изгледа као легалан сајт, постоји хттпс сертификат, а главна страница нуди повезивање овог система плаћања са вашим сајтом, али, нажалост, сви линкови за повезивање не раде. Ово име домена разрешава само 1 ИП адресу - 190.115.19.74. Он, заузврат, има 1475 јединствених имена домена који се решавају на ову ИП адресу, укључујући имена као што су:

• ац-паи2даи.нет
• ац-паифит.цом
• ас-манипаи.цом
• флеткасс.нет
• ас-магицпаи.цом
• и други

Као што видимо, пасивни ДНС вам омогућава да брзо и ефикасно прикупите податке о ресурсу који се проучава, па чак и да направите неку врсту отиска прста који вам омогућава да откријете читаву шему за крађу личних података, од њиховог пријема до вероватног места продаје.

Слика 7. Мапа система који се проучава

Није све тако ружичасто како бисмо желели. На пример, такве истраге могу лако да пропадну на ЦлоудФларе-у или сличним услугама. А ефикасност прикупљене базе података у великој мери зависи од броја ДНС захтева који пролазе кроз модул за прикупљање пасивних ДНС података. Али ипак, пасивни ДНС је извор додатних информација за истраживача.

Аутор: Специјалиста Уралског центра за безбедносне системе

Извор: ввв.хабр.цом