O DNS, a lista telefónica da Internet

Um nome de domínio só tem valor pelos registos que lhe estão associados. A CISA cita, por exemplo, os registos de endereço (A), de servidor de correio (MX) e de servidor de nomes (NS)².

O percurso de ataque descrito pela CISA resume-se a três tempos. O atacante compromete, ou obtém de outra forma, as credenciais de uma conta que pode modificar registos DNS. Depois, substitui o endereço legítimo de um serviço por um endereço que controla, o que lhe permite examinar ou manipular o tráfego antes de, se assim o entender, o transmitir ao serviço verdadeiro. Por fim, pode obter certificados válidos para decifrar esse tráfego e ler os dados introduzidos pelos utilizadores². A CISA acrescenta que este risco persiste para lá do período de redirecionamento².

A MITRE assinala outra possibilidade: criar silenciosamente subdomínios que apontam para servidores maliciosos, sem que o proprietário do servidor DNS se aperceba³. O mesmo texto precisa que grande parte desta atividade decorre fora da vista da organização visada, o que dificulta a sua deteção³.

O DNS serve também de canal de comando. Na técnica de balizagem DNS, os comandos passam por pedidos DNS, em registos do tipo TXT ou A. Estas balizas são difíceis de detetar porque raramente comunicam com os dispositivos infetados, o que as dilui no tráfego normal⁴. A resolução dinâmica, por sua vez, permite a um software malicioso ajustar o nome de domínio, o endereço IP ou a porta que utiliza⁵.

• Leia o endereço apresentado antes de introduzir uma palavra-passe ou dados. Compare-o letra a letra com o endereço habitual: um nome de domínio parecido, com um erro de escrita, leva a outro site.
• Não confie na ausência de alerta do navegador. Um certificado válido não prova que o redirecionamento não ocorreu².
• Abra os seus serviços pelos favoritos ou pelo endereço oficial comunicado pela empresa, em vez de usar uma ligação recebida.
• Comunique ao suporte qualquer comportamento invulgar: uma página de início de sessão inesperada, um correio eletrónico que se comporta de forma diferente, um site conhecido que se apresenta de outro modo.
• Não altere as definições de DNS do seu posto de trabalho nem do router do escritório.

Primeira armadilha: acreditar que um endereço correto basta. Nos ataques descritos pela CISA, é a lista que é alterada, não o endereço que o utilizador escreve².

Segunda armadilha: pensar que o assunto só diz respeito aos informáticos. O ataque começa por credenciais: a CISA exigiu às agências federais do poder executivo norte-americano a alteração das palavras-passe das contas capazes de modificar o DNS e a adoção de autenticação multifator². Recomenda fatores resistentes ao phishing e desaconselha a autenticação por SMS². Um colaborador que gere um nome de domínio ou uma conta junto de um prestador de DNS é diretamente afetado.

Terceira armadilha: supor que o fornecedor está sempre a salvo. A MITRE inclui o comprometimento de servidores DNS de terceiros entre as técnicas dos atacantes, que assim evitam montar os seus próprios servidores³.

Serviços de DNS dinâmico, como o DuckDNS, foram utilizados pelo grupo APT-C-36 para redirecionar vítimas para sites ou repositórios que alojavam software malicioso⁵. Um nome de domínio desconhecido não é, portanto, um indício de confiança, seja qual for o seu aspeto.

Janeiro de 2019: a diretiva de emergência da CISA

A 22 de janeiro de 2019, a CISA publicou a diretiva de emergência ED 19-01, «Mitigate DNS Infrastructure Tampering»². Indicava estar a acompanhar uma série de incidentes de manipulação da infraestrutura DNS e ter conhecimento de que vários domínios de agências do poder executivo norte-americano estavam afetados². Impunha às agências quatro ações. As três primeiras, a concluir em 10 dias úteis, eram auditar os registos DNS públicos, alterar as palavras-passe das contas em causa e adicionar autenticação multifator². Quanto à quarta, a CISA começava, em 10 dias úteis, a entregar os novos certificados aos registos de transparência de certificados, e as agências deviam monitorizá-los logo que os recebessem². O texto da CISA indica hoje que concluiu que o objetivo da diretiva foi alcançado e que a encerrou².

2019: a campanha Sea Turtle

A MITRE atribui ao grupo Sea Turtle a modificação de elementos de servidores de nomes (NS) para apontar para servidores DNS que controlava, a fim de fornecer as respostas a todos os pedidos DNS³. Entre as referências da MITRE figura uma análise da Cisco Talos de 17 de abril de 2019, «Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service», seguida de uma segunda, de 9 de julho de 2019³. As fontes do dossiê não detalham as vítimas desta campanha.

O guia NIST SP 800-81 Rev. 3, publicado em março de 2026, substitui a versão de 2013¹. Dá recomendações de implementação para proteger o protocolo e a infraestrutura DNS, limitar os erros de configuração e acrescentar uma camada de segurança de rede¹. Entre as suas palavras-chave figuram DNSSEC, DNS cifrado, DNS protetor e registo de eventos DNS¹. A diretiva da CISA recorda ainda a monitorização dos certificados emitidos e o inventário dos domínios geridos².