DomĂ€nnamnssystemet (DNS) fungerar som en telefonkatalog som översĂ€tter anvĂ€ndarvĂ€nliga namn, som âussc.ruâ, till IP-adresser. Eftersom DNS-aktivitet förekommer i nĂ€stan alla kommunikationssessioner, oavsett protokoll, Ă€r DNS-loggning en vĂ€rdefull datakĂ€lla för informationssĂ€kerhetsspecialister, vilket gör det möjligt för dem att upptĂ€cka avvikelser eller fĂ„ ytterligare information om det undersökta systemet.
à r 2004 föreslog Florian Weimer en metod för loggning som kallas Passive DNS, som gör det möjligt att ÄterstÀlla historiken för förÀndringar i DNS-data med möjlighet till indexering och sökning, vilket kan ge tillgÄng till följande data:
- DomÀnnamn
- IP-adressen för den begÀrda domÀnnamnet
- Datum och tid för svaret
- Typ av svar
- och sÄ vidare.
Data för Passive DNS samlas in frÄn rekursiva DNS-servrar via inbyggda moduler eller genom att fÄnga svar frÄn DNS-servrar som ansvarar för zonen.
Figur 1. Passive DNS (hÀmtad frÄn webbplatsen )
Ett kÀnnetecken för Passive DNS Àr att det inte krÀver registrering av klientens IP-adress, vilket skyddar anvÀndarnas integritet.
För nÀrvarande finns det mÄnga tjÀnster som erbjuder tillgÄng till Passive DNS-data:
Företag
Farsight Security
VirusTotal
Riskiq
SafeDNS
SecurityTrails
Cisco
Ă
tkomst
PÄ begÀran
KrÀver ingen registrering
Ăppen registrering
PÄ begÀran
KrÀver ingen registrering
PÄ begÀran
API
Finns
Finns
Finns
Finns
Finns
Finns
Klientens nÀrvaro
Finns
Finns
Finns
Ingen
Ingen
Ingen
Datainsamlingens början
2010
2013
2009
Visar endast de senaste 3 mÄnaderna
2008
2006
Tabell 1. TjÀnster med tillgÄng till Passive DNS-data
AnvÀndningsomrÄden för Passive DNS
Genom att anvÀnda Passive DNS kan man bygga relationer mellan domÀnnamn, NS-servrar och IP-adresser. Detta möjliggör skapandet av kartor över de undersökta systemen och övervakning av förÀndringar i dessa kartor frÄn första upptÀckten till nutid.
Passive DNS underlÀttar ocksÄ identifieringen av avvikelser i trafiken. Till exempel, att övervaka förÀndringar i NS-zoner och typer av A- och AAAA-poster gör det möjligt att identifiera skadliga webbplatser som anvÀnder metoden fast flux, avsedd att dölja C&C frÄn upptÀckten och blockering. Eftersom legitima domÀnnamn (utom de som anvÀnds för lastbalansering) sÀllan Àndrar sina IP-adresser, medan de flesta legitima zoner sÀllan byter sina NS-servrar.
Passive DNS, till skillnad frĂ„n direkt sökning av subdomĂ€ner genom ordlistor, gör det möjligt att hitta Ă€ven de mest exotiska domĂ€nnamnen, som exempelvis â222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ruâ. Det gör det Ă€ven möjligt att upptĂ€cka testomrĂ„den (och sĂ„rbara) pĂ„ webbplatser, utvecklarmaterial, etc.
Undersökning av lÀnken i e-postmeddelandet med hjÀlp av Passive DNS
För nÀrvarande Àr skrÀppost en av de frÀmsta metoderna som angripare anvÀnder för att ta sig in pÄ offrets dator eller stjÀla konfidentiell information. LÄt oss undersöka lÀnken i ett sÄdant mail med hjÀlp av Passive DNS för att bedöma effektiviteten av denna metod.
Figur 2. SkrÀppostmeddelande
LÀnken i detta meddelande ledde till webbplatsen magnit-boss.rocks, som erbjöd att automatiskt samla bonusar och tjÀna pengar:
Figur 3. Sida som finns pÄ domÀnen magnit-boss.rocks
För att undersöka denna webbplats anvÀndes , som redan har 3 befintliga kunder pÄ , och .
Först tar vi reda pÄ hela historien bakom detta domÀnnamn, och för detta anvÀnder vi kommandot:
pt-client pdns âquery magnit-boss.rocks
Detta kommando kommer att ge information om alla DNS-resolvningar relaterade till detta domÀnnamn.
Figur 4. Svar frÄn API Riskiq
Vi presenterar svaret frÄn API i ett mer överskÄdligt format:
Figur 5. Alla poster frÄn svaret
För vidare undersökning togs IP-adresser som detta domÀnnamn resolvades till vid tidpunkten för mottagandet av mailet den 01.08.2019, dessa IP-adresser Àr 92.119.113.112 och 85.143.219.65.
Genom att anvÀnda kommandot:
pt-client pdns âquery
kan vi fÄ alla domÀnnamn som Àr kopplade till dessa IP-adresser.
IP-adressen 92.119.113.112 har 42 unika domÀnnamn som resolvades till denna IP-adress, bland vilka Äterfinns följande namn:
- magnit-boss.club
- igrovie-avtomaty.me
- pro-x-audit.xyz
- zep3-www.xyz
- m.fl.
IP-adressen 85.143.219.65 har 44 unika domÀnnamn som resolvades till denna IP-adress, bland vilka Äterfinns följande namn:
- cvv2.name (webbplats för försÀljning av kreditkortinformation)
- emaills.world
- www.mailru.space
- m.fl.
Kopplingarna till dessa domĂ€nnamn tyder pĂ„ phishing, men vi tror ju pĂ„ goda mĂ€nniskor, sĂ„ vi kommer att försöka fĂ„ en bonus pĂ„ 332 501,72 rubel? Efter att ha tryckt pĂ„ knappen âJAâ ber webbplatsen oss att överföra 300 rubel frĂ„n kortet för att lĂ„sa upp kontot och skickar oss till webbplatsen as-torpay.info för att ange uppgifterna.
Figur 6. Huvudsidan pÄ webbplatsen ac-pay2day.net
Ett till synes legitimt webbplats, med HTTPS-certifikat, och huvud sidan erbjuder att ansluta detta betalningssystem till sin webbplats, men tyvĂ€rr fungerar alla lĂ€nkar för anslutning inte. Detta domĂ€nnamn löses upp till endast 1 IP-adress â 190.115.19.74. Den har i sin tur 1475 unika domĂ€nnamn som löstes mot denna IP-adress, bland vilka finns namn som:
- ac-pay2day.net
- ac-payfit.com
- as-manypay.com
- fletkass.net
- as-magicpay.com
- m.fl.
Som vi kan se, möjliggör Passive DNS att snabbt och effektivt samla in data om den undersökta resursen och till och med bygga ett slags avtryck som gör det möjligt att avslöja ett helt schema för stöld av personuppgifter, frÄn dess förvÀrv till sannolika försÀljningsstÀllen.
Figur 7. Karta över det undersökta systemet
Det Àr inte allt sÄ ljus som vi skulle önska. Till exempel kan sÄdana utredningar lÀtt krocka med CloudFlare eller liknande tjÀnster. Och effektiviteten av den insamlade databasen beror mycket pÄ antalet DNS-förfrÄgningar som passerar genom modulen för insamling av Passive DNS-data. Men Ä andra sidan Àr Passive DNS en kÀlla till tillsatsinformation för forskaren.
Författare: Specialist vid Ural Center for Security Systems
KĂ€lla: habr.com
