Il DNS, la rubrica di Internet

Un nome di dominio ha valore solo grazie ai record che gli sono associati. La CISA cita ad esempio i record di indirizzo (A), di server di posta (MX) e di server dei nomi (NS)².

Il percorso d'attacco descritto dalla CISA si svolge in tre tempi. L'attaccante compromette, o ottiene in altro modo, le credenziali di un account che può modificare i record DNS. Poi sostituisce l'indirizzo legittimo di un servizio con un indirizzo che controlla, e così può esaminare o manipolare il traffico prima di inoltrarlo, se decide di farlo, al vero servizio. Infine può ottenere certificati validi per decifrare questo traffico e leggere i dati inseriti dagli utenti². La CISA aggiunge che questo rischio persiste oltre il periodo del dirottamento².

MITRE segnala un'altra possibilità: creare in silenzio sottodomini che puntano a server malevoli, senza che il proprietario del server DNS se ne accorga³. Lo stesso testo precisa che gran parte di questa attività si svolge fuori dalla vista dell'organizzazione colpita, il che rende difficile individuarla³.

Il DNS serve anche da canale di comando. Nella tecnica del beaconing DNS, i comandi passano attraverso richieste DNS, in record di tipo TXT o A. Questi beacon sono difficili da individuare perché comunicano raramente con i dispositivi infetti, e per questo si perdono nel traffico normale⁴. La risoluzione dinamica, invece, permette a un software malevolo di modificare il nome di dominio, l'indirizzo IP o la porta che utilizza⁵.

• Legga l'indirizzo mostrato prima di inserire una password o dei dati. Lo confronti lettera per lettera con l'indirizzo abituale: un nome di dominio simile, con un errore di battitura, porta a un altro sito.
• Non si fidi dell'assenza di avvisi del browser. Un certificato valido non prova che il dirottamento non sia avvenuto².
• Apra i suoi servizi dai preferiti o dall'indirizzo ufficiale comunicato dall'azienda, anziché da un link ricevuto.
• Segnali al supporto qualsiasi comportamento insolito: una pagina di accesso inattesa, una posta che si comporta in modo diverso, un sito noto che si presenta in modo diverso.
• Non modifichi le impostazioni DNS del suo dispositivo né del router dell'ufficio.

Prima trappola: credere che basti un indirizzo corretto. Negli attacchi descritti dalla CISA, a essere modificata è la rubrica, non l'indirizzo che l'utente digita².

Seconda trappola: pensare che l'argomento riguardi solo gli informatici. L'attacco comincia dalle credenziali: la CISA ha imposto alle agenzie federali dell'esecutivo statunitense di cambiare le password degli account in grado di modificare il DNS e di aggiungere l'autenticazione a più fattori². Raccomanda fattori resistenti al phishing e sconsiglia l'autenticazione via SMS². Un dipendente che gestisce un nome di dominio o un account presso un fornitore di hosting DNS è direttamente interessato.

Terza trappola: supporre che il fornitore sia sempre al riparo. MITRE colloca la compromissione di server DNS di terzi tra le tecniche degli attaccanti, che in questo modo evitano di allestire server propri³.

Servizi di DNS dinamico, come DuckDNS, sono stati usati dal gruppo APT-C-36 per dirottare le vittime verso siti o repository che ospitavano software malevolo⁵. Un nome di dominio sconosciuto non è quindi un indizio di fiducia, qualunque sia il suo aspetto.

Gennaio 2019: la direttiva di emergenza della CISA

Il 22 gennaio 2019 la CISA ha pubblicato la direttiva di emergenza ED 19-01, "Mitigate DNS Infrastructure Tampering"². Indicava di seguire una serie di incidenti di manipolazione dell'infrastruttura DNS e di sapere che diversi domini di agenzie dell'esecutivo statunitense erano colpiti². Imponeva alle agenzie quattro azioni. Le prime tre, da svolgere entro 10 giorni lavorativi, erano verificare i record DNS pubblici, cambiare le password degli account interessati e aggiungere l'autenticazione a più fattori². Per la quarta, la CISA iniziava entro 10 giorni lavorativi a consegnare i nuovi certificati ai registri di trasparenza dei certificati, e le agenzie dovevano monitorarli appena ricevuti². Il testo della CISA indica oggi che essa ha concluso che l'obiettivo della direttiva era raggiunto e l'ha chiusa².

2019: la campagna Sea Turtle

MITRE attribuisce al gruppo Sea Turtle la modifica di elementi dei server dei nomi (NS) per rinviare a server DNS che controllava, in modo da fornire le risposte a tutte le richieste DNS³. Tra i riferimenti di MITRE figura un'analisi di Cisco Talos del 17 aprile 2019, "Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service", seguita da una seconda del 9 luglio 2019³. Le fonti del dossier non dettagliano le vittime di questa campagna.

La guida NIST SP 800-81 Rev. 3, pubblicata a marzo 2026, sostituisce la versione del 2013¹. Fornisce raccomandazioni di implementazione per mettere in sicurezza il protocollo e l'infrastruttura DNS, limitare gli errori di configurazione e aggiungere uno strato di sicurezza di rete¹. Tra le sue parole chiave figurano DNSSEC, DNS cifrato, DNS protettivo e registrazione dei log DNS¹. La direttiva della CISA ricorda anche il monitoraggio dei certificati emessi e l'inventario dei domini gestiti².