DNS, książka telefoniczna internetu

Nazwa domeny ma wartość tylko dzięki powiązanym z nią rekordom. CISA wymienia na przykład rekordy adresu (A), serwera pocztowego (MX) i serwera nazw (NS)².

Ścieżka ataku opisana przez CISA składa się z trzech kroków. Atakujący przejmuje lub w inny sposób zdobywa dane logowania konta, które może zmieniać rekordy DNS. Następnie zastępuje prawidłowy adres usługi adresem, który kontroluje, co pozwala mu badać lub modyfikować ruch, zanim, jeśli zechce, przekaże go prawdziwej usłudze. Wreszcie może uzyskać ważne certyfikaty, aby odszyfrować ten ruch i odczytać dane wpisywane przez użytkowników². CISA dodaje, że to ryzyko utrzymuje się po zakończeniu okresu przekierowania².

MITRE wskazuje inną możliwość: po cichu tworzone poddomeny wskazujące na złośliwe serwery, bez wiedzy właściciela serwera DNS³. Ten sam tekst podaje, że znaczna część tej aktywności odbywa się poza zasięgiem wzroku atakowanej organizacji, co utrudnia jej wykrycie³.

DNS służy też jako kanał poleceń. W technice sygnalizacji DNS polecenia przechodzą w zapytaniach DNS, w rekordach typu TXT lub A. Te sygnały trudno wychwycić, bo rzadko komunikują się z zainfekowanymi urządzeniami, przez co giną w normalnym ruchu⁴. Z kolei dynamiczne rozwiązywanie pozwala szkodliwemu oprogramowaniu zmieniać nazwę domeny, adres IP lub port, których używa⁵.

• Proszę przeczytać wyświetlany adres, zanim wpisze Pan/Pani hasło lub dane. Proszę porównać go litera po literze z adresem, którego Pan/Pani zwykle używa: zbliżona nazwa domeny z literówką prowadzi do innej strony.
• Proszę nie polegać na braku alertu przeglądarki. Ważny certyfikat nie dowodzi, że przekierowanie nie nastąpiło².
• Proszę otwierać usługi z zakładek lub pod oficjalnym adresem podanym przez firmę, a nie z otrzymanego linku.
• Proszę zgłaszać do wsparcia każde nietypowe zachowanie: niespodziewaną stronę logowania, pocztę działającą inaczej, znaną stronę, która wygląda inaczej.
• Proszę nie zmieniać ustawień DNS na swoim komputerze ani na biurowym routerze.

Pierwsza pułapka: wiara, że prawidłowy adres wystarczy. W atakach opisanych przez CISA zmieniana jest książka telefoniczna, a nie adres, który wpisuje użytkownik².

Druga pułapka: przekonanie, że temat dotyczy tylko informatyków. Atak zaczyna się od danych logowania: CISA zażądała od agencji federalnych amerykańskiej władzy wykonawczej zmiany haseł kont mogących modyfikować DNS i dodania uwierzytelniania wieloskładnikowego². Zaleca czynniki odporne na wyłudzanie danych i odradza uwierzytelnianie przez SMS². Pracownik, który zarządza nazwą domeny lub kontem u dostawcy DNS, jest tym bezpośrednio dotknięty.

Trzecia pułapka: zakładanie, że dostawca jest zawsze bezpieczny. MITRE zalicza przejęcie serwerów DNS stron trzecich do technik atakujących, którzy dzięki temu nie muszą budować własnych serwerów³.

Usługi dynamicznego DNS, takie jak DuckDNS, były używane przez grupę APT-C-36 do przekierowywania ofiar na strony lub repozytoria ze szkodliwym oprogramowaniem⁵. Nieznana nazwa domeny nie jest więc oznaką zaufania, niezależnie od tego, jak wygląda.

Styczeń 2019: dyrektywa nadzwyczajna CISA

22 stycznia 2019 r. CISA opublikowała dyrektywę nadzwyczajną ED 19-01, „Mitigate DNS Infrastructure Tampering"². Podała w niej, że śledzi serię incydentów manipulacji infrastrukturą DNS i wie, że dotknęły one domen kilku agencji amerykańskiej władzy wykonawczej². Nakazała agencjom cztery działania. Trzy pierwsze, do wykonania w ciągu 10 dni roboczych, to audyt publicznych rekordów DNS, zmiana haseł kont, których sprawa dotyczy, i dodanie uwierzytelniania wieloskładnikowego². W czwartym CISA zaczynała w ciągu 10 dni roboczych dostarczać nowe certyfikaty do dzienników przejrzystości certyfikatów, a agencje miały je monitorować od otrzymania². Tekst CISA podaje obecnie, że uznała cel dyrektywy za osiągnięty i ją zamknęła².

2019: kampania Sea Turtle

MITRE przypisuje grupie Sea Turtle modyfikowanie rekordów serwerów nazw (NS), aby kierowały na serwery DNS pod jej kontrolą, tak by udzielać odpowiedzi na wszystkie zapytania DNS³. Wśród odnośników MITRE jest analiza Cisco Talos z 17 kwietnia 2019 r., „Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service", a po niej druga z 9 lipca 2019 r.³. Źródła cytowane w tej karcie nie podają szczegółów o ofiarach tej kampanii.

Poradnik NIST SP 800-81 Rev. 3, opublikowany w marcu 2026 r., zastępuje wersję z 2013 r.¹. Zawiera zalecenia wdrożeniowe dotyczące zabezpieczenia protokołu i infrastruktury DNS, ograniczania błędów konfiguracji i dodania warstwy bezpieczeństwa sieci¹. Wśród jego słów kluczowych są DNSSEC, szyfrowany DNS, ochronny DNS i rejestrowanie zdarzeń DNS¹. Dyrektywa CISA przypomina także o monitorowaniu wydanych certyfikatów i inwentaryzacji zarządzanych domen².