El DNS, la agenda de Internet

Un nombre de dominio solo tiene valor por los registros que se le asocian. La CISA cita, por ejemplo, los registros de dirección (A), de servidor de correo (MX) y de servidor de nombres (NS)².

El recorrido del ataque que describe la CISA tiene tres tiempos. El atacante compromete, o consigue de otro modo, las credenciales de una cuenta que puede modificar los registros DNS. Después sustituye la dirección legítima de un servicio por una dirección que controla, lo que le permite examinar o manipular el tráfico antes de, si lo decide, transmitirlo al servicio real. Por último, puede obtener certificados válidos para descifrar ese tráfico y leer los datos que introducen los usuarios². La CISA añade que este riesgo persiste más allá del periodo de redirección².

MITRE señala otra posibilidad: crear en silencio subdominios que apuntan a servidores maliciosos, sin que el propietario del servidor DNS se dé cuenta³. El mismo texto precisa que gran parte de esta actividad se desarrolla fuera de la vista de la organización objetivo, lo que dificulta su detección³.

El DNS sirve también como canal de mando. En la técnica de balizas DNS, los comandos pasan por consultas DNS, en registros de tipo TXT o A. Estas balizas son difíciles de detectar porque rara vez se comunican con los dispositivos infectados, lo que las diluye en el tráfico normal⁴. La resolución dinámica, por su parte, permite a un software malicioso ajustar el nombre de dominio, la dirección IP o el puerto que utiliza⁵.

• Lea la dirección que aparece antes de escribir una contraseña o datos. Compárela letra por letra con la dirección habitual: un nombre de dominio parecido, con una errata, lleva a otro sitio.
• No se fíe de que el navegador no avise. Un certificado válido no prueba que no se haya producido la redirección².
• Abra sus servicios desde sus favoritos o desde la dirección oficial que comunica la empresa, en lugar de usar un enlace recibido.
• Comunique al soporte cualquier comportamiento inusual: una página de inicio de sesión inesperada, un correo que se comporta de otra manera, un sitio conocido que se presenta de forma distinta.
• No modifique los parámetros DNS de su equipo ni del router de la oficina.

Primera trampa: creer que basta con una dirección correcta. En los ataques que describe la CISA, lo que se modifica es la agenda, no la dirección que escribe el usuario².

Segunda trampa: pensar que el asunto solo concierne a los informáticos. El ataque empieza por las credenciales: la CISA exigió a las agencias federales del poder ejecutivo estadounidense que cambiaran las contraseñas de las cuentas capaces de modificar el DNS y que añadieran autenticación multifactor². Recomienda factores resistentes al phishing y desaconseja la autenticación por SMS². Un empleado que gestiona un nombre de dominio o una cuenta en un proveedor de DNS está directamente afectado.

Tercera trampa: suponer que el proveedor siempre está a salvo. MITRE incluye la vulneración de servidores DNS de terceros entre las técnicas de los atacantes, que así evitan montar sus propios servidores³.

El grupo APT-C-36 utilizó servicios de DNS dinámico, como DuckDNS, para redirigir a las víctimas a sitios o repositorios que alojaban software malicioso⁵. Un nombre de dominio desconocido no es, pues, un indicio de confianza, sea cual sea su aspecto.

Enero de 2019: la directiva de emergencia de la CISA

El 22 de enero de 2019, la CISA publicó la directiva de emergencia ED 19-01, «Mitigate DNS Infrastructure Tampering»². Indicaba que seguía una serie de incidentes de manipulación de la infraestructura DNS y que sabía que varios dominios de agencias del poder ejecutivo estadounidense estaban afectados². Imponía a las agencias cuatro acciones. Las tres primeras, que debían realizarse en 10 días hábiles, eran auditar los registros DNS públicos, cambiar las contraseñas de las cuentas afectadas y añadir autenticación multifactor². Para la cuarta, la CISA empezaba en 10 días hábiles a entregar los nuevos certificados a los registros de transparencia de certificados, y las agencias debían supervisarlos desde su recepción². El texto de la CISA indica actualmente que concluyó que el objetivo de la directiva se había alcanzado y que la cerró².

2019: la campaña Sea Turtle

MITRE atribuye al grupo Sea Turtle la modificación de elementos de servidores de nombres (NS) para remitir a servidores DNS que controlaba, con el fin de proporcionar las respuestas a todas las consultas DNS³. Entre las referencias de MITRE figura un análisis de Cisco Talos del 17 de abril de 2019, «Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service», seguido de un segundo del 9 de julio de 2019³. Las fuentes citadas aquí no detallan las víctimas de esta campaña.

La guía NIST SP 800-81 Rev. 3, publicada en marzo de 2026, sustituye a la versión de 2013¹. Ofrece recomendaciones de despliegue para proteger el protocolo y la infraestructura DNS, limitar los errores de configuración y añadir una capa de seguridad de red¹. Entre sus palabras clave figuran DNSSEC, el DNS cifrado, el DNS protector y el registro de actividad del DNS¹. La directiva de la CISA recuerda también la supervisión de los certificados emitidos y el inventario de los dominios gestionados².