DNS, het telefoonboek van internet

Een domeinnaam heeft alleen waarde door de records die eraan gekoppeld zijn. CISA noemt bijvoorbeeld adresrecords (A), records van mailservers (MX) en records van nameservers (NS)².

Het aanvalspad dat CISA beschrijft, bestaat uit drie stappen. De aanvaller compromitteert de inloggegevens van een account dat DNS-records kan wijzigen, of komt er op een andere manier aan. Daarna vervangt hij het legitieme adres van een dienst door een adres dat hij zelf beheert, zodat hij het verkeer kan onderzoeken of manipuleren voordat hij het, als hij dat wil, doorgeeft aan de echte dienst. Ten slotte kan hij geldige certificaten verkrijgen om dit verkeer te ontsleutelen en de gegevens te lezen die gebruikers invoeren². CISA voegt toe dat dit risico blijft bestaan na de periode van omleiding².

MITRE wijst op nog een mogelijkheid: ongemerkt subdomeinen aanmaken die naar kwaadaardige servers verwijzen, zonder dat de eigenaar van de DNS-server het merkt³. Dezelfde tekst stelt dat een groot deel van deze activiteit zich buiten het zicht van de getroffen organisatie afspeelt, waardoor detectie moeilijk is³.

DNS dient ook als commandokanaal. Bij de techniek van DNS-beaconing lopen opdrachten via DNS-verzoeken, in records van het type TXT of A. Deze beacons zijn moeilijk op te sporen omdat ze zelden communiceren met de geïnfecteerde apparaten, waardoor ze opgaan in het normale verkeer⁴. Dynamic resolution maakt het kwaadaardige software mogelijk de domeinnaam, het IP-adres of de poort die ze gebruikt aan te passen⁵.

• Lees het weergegeven adres voordat u een wachtwoord of gegevens invoert. Vergelijk het letter voor letter met het gebruikelijke adres: een bijna gelijke domeinnaam met een tikfout leidt naar een andere site.
• Vertrouw niet op het uitblijven van een waarschuwing van de browser. Een geldig certificaat bewijst niet dat er geen omleiding heeft plaatsgevonden².
• Open uw diensten via uw favorieten of via het officiële adres dat het bedrijf doorgeeft, liever dan via een ontvangen link.
• Meld elk ongewoon gedrag aan uw helpdesk: een onverwachte inlogpagina, een mailprogramma dat zich anders gedraagt, een bekende site die er anders uitziet.
• Wijzig de DNS-instellingen van uw computer en van uw router op kantoor niet.

Eerste valkuil: denken dat een correct adres genoeg is. Bij de aanvallen die CISA beschrijft, wordt het telefoonboek gewijzigd en niet het adres dat de gebruiker typt².

Tweede valkuil: denken dat het onderwerp alleen informatici aangaat. De aanval begint met inloggegevens: CISA eiste van de federale uitvoerende agentschappen van de Verenigde Staten dat ze de wachtwoorden wijzigden van accounts die DNS kunnen aanpassen en multifactorauthenticatie toevoegden². CISA beveelt phishingbestendige factoren aan en raadt authenticatie via sms af². Een medewerker die een domeinnaam beheert of een account bij een DNS-hostingpartij heeft, is er rechtstreeks bij betrokken.

Derde valkuil: aannemen dat de leverancier altijd veilig is. MITRE rekent de compromittering van DNS-servers van derden tot de technieken van aanvallers, die zo hun eigen servers niet hoeven op te zetten³.

Dynamic-DNS-diensten, zoals DuckDNS, zijn door de groep APT-C-36 gebruikt om slachtoffers om te leiden naar sites of repositories met kwaadaardige software⁵. Een onbekende domeinnaam is dus geen teken van vertrouwen, hoe hij er ook uitziet.

Januari 2019: de noodrichtlijn van CISA

Op 22 januari 2019 publiceerde CISA noodrichtlijn ED 19-01, "Mitigate DNS Infrastructure Tampering"². CISA gaf aan een reeks incidenten van manipulatie van DNS-infrastructuur te volgen en te weten dat meerdere domeinen van uitvoerende agentschappen van de Amerikaanse overheid waren getroffen². De richtlijn legde de agentschappen vier acties op. De eerste drie, uit te voeren binnen 10 werkdagen, waren: de openbare DNS-records auditen, de wachtwoorden van de betrokken accounts wijzigen en multifactorauthenticatie toevoegen². Voor de vierde begon CISA binnen 10 werkdagen met het aanleveren van de nieuwe certificaten aan de certificate-transparencylogs, en de agentschappen moesten die vanaf ontvangst monitoren². De tekst van CISA vermeldt nu dat CISA tot de conclusie kwam dat het doel van de richtlijn was bereikt en dat zij de richtlijn heeft gesloten².

2019: de campagne Sea Turtle

MITRE koppelt aan de groep Sea Turtle het wijzigen van records van nameservers (NS) zodat ze verwezen naar DNS-servers die de groep beheerde, om de antwoorden op alle DNS-verzoeken te leveren³. Onder de referenties van MITRE staat een analyse van Cisco Talos van 17 april 2019, "Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service", gevolgd door een tweede van 9 juli 2019³. De bronnen van het dossier geven geen details over de slachtoffers van deze campagne.

De gids NIST SP 800-81 Rev. 3, gepubliceerd in maart 2026, vervangt de versie van 2013¹. Hij geeft implementatieaanbevelingen om het DNS-protocol en de DNS-infrastructuur te beveiligen, configuratiefouten te beperken en een netwerkbeveiligingslaag toe te voegen¹. Tot de trefwoorden behoren DNSSEC, versleutelde DNS, beschermende DNS en DNS-logging¹. De richtlijn van CISA wijst ook op het monitoren van uitgegeven certificaten en het bijhouden van een inventaris van beheerde domeinen².