域名劫持事件发生后的应急响应策略

Morphus实验室讲述了这样一个故事,在某周六的早上,你作为一家大公司的CSO(首席安全官),突然开始收到了雪片般飞来的消息。他们告诉你有游客在访问了你公司的网址后,浏览到了各种恶意内容。

这听起来像是公司网站出现了混乱,其实可能发生了更严重的的事情。当你深入研究后会发现,公司整个域名都被黑客劫持了,他们试图从你们客户那里窃取数据并且传播恶意代码。在本文中,我们会详细介绍针对上述场景的应急响应方案。另外,这一威胁对信息安全策略和安全布局的颠覆,我们可以用一些简单的方法进行缓解。

DNS基础知识

为了更好地理解到底发生了什么,我们需要了解一些DNS的基本概念。

DNS即域名系统,是互联网能够正常运营的基础。我们每天使用的网站和其他网络服务的名字,都需要借助因特网协议转换为IP地址,DNS服务器就在其间起一个翻译的作用。 DNS服务器以层级架构的方式工作,当解析请求传递给相应的DNS服务器时,它会负责解决问题。DNS服务器的根节点,可以比拟为任意网站域名最后看不见的一个点,它们分布在全世界不同的地方。这些根DNS服务器必须知道控制顶级域名DNS服务器(比如”.com”)的IP地址。同样,“.com”DNS服务器也需要知道控制你公司域名的DNS服务器(比如“yourdomain.com”)的IP地址。

举个例子,有DNS请求需要解析“www.yourdomain.com”,在请求包到达了根DNS服务器“.”之后,反过来又会下放到“.com”服务器,接着再到你公司的DNS服务器,最后它会解析“www”域名,然后返回正确的地址给你。

这些顶级域名(比如”.com”)由域名注册商把控,这些域名注册商也被称作NIC(网络信息中心)。它们会管理自己负责的注册域名,同时专门配置DNS服务器的IP地址,来负责解析如“yourdomain.com”等域名。

域名劫持

无论你在哪家域名注册商注册或者管理一个域名,必须先在他们那里创建一个账户。这个账户可以把域名注册商的DNS服务器IP地址,指向你的网站或者email服务器的IP地址。

这样一来,域名注册商网站的账户信息会显得非常重要。一旦有不怀好意的人获取到这些信息,就能任意操作你的域名配置以及你DNS服务器的IP地址。简而言之,他们可以将你们公司的域名和邮件劫持到他那儿。

我们现在回过来看看,故事中到底发生了什么:

黑客盗窃了该公司在域名注册网站的身份凭证,登进去改变了主/次DNS服务器配置,将其指向了黑客自己的地址。之后,该公司的客户访问的都是黑客伪造的网站,然后下载了黑客准备的恶意内容。我们可以猜测,罪犯的目的很可能是为了传播恶意软件。

事件响应

与大多数网络事件一样,你只需要加载备份和配置就能恢复你的基础设施。在这个事件当中,所有的服务器其实并没有受到损害。

在这些情况下,你有两件事要做:

第一,找回域名注册网站上的登陆凭证。 第二,提醒你的客户网站已经被黑,千万不能再在上面下载任何内容。

注意,你这个时候千万不能使用你公司的email去发送消息,因为黑客很可能已经控制了你们的email服务,甚至正在窃听你们公司所有的通信内容。我们这里建议,你可以通过公司的社交网络账户或者其他渠道去发送这些通知。

我们认为,黑客之所以选择在周末进行袭击,那是因为这时候是比较难恢复网络环境的。这次事件发生在周六早上11点,直到下午5点左右该公司才将DNS配置为正确的服务器。但是事情到了这里还没完,由于黑客的恶意改动,客户在接下来几个小时内仍然访问到的是伪造的网站,这一直持续到了因特网上DNS缓存进行了更新才结束。本来黑客为公司域名设置了24小时的TTL值,这意味着DNS服务器会在接下来的24小时内用黑客的IP来解析公司域名。

公司想要加快恢复的唯一途径,是联系国内负责主DNS服务器的网络运营商,然后请求他们刷新DNS配置。

当做好这一切后,情况终于开始恢复。

网站凭证是如何失窃的

在这期间,公司应急响应团队中有一部分人员负责恢复网络环境,另一部分人员开始分析凭证失窃的原因。

在向负责此事的DNS管理员问询后,我们收集到一些值得注意的信息:

他在域名注册商那里,绑定了一个Gmail账户,这可以用来进行密码找回。在这次事件发生之前,他的手机至少在4小时内出现无服务的情况,而重置Gmail密码的短信正需要这台手机。

经过公司调查人员的努力,发现Gmail的密码确实在那段时间被人通过手机进行了更改。另外,根据收到的证据表明,这只可能是因为手机被克隆了。

目前,这一假设是非常合理的,我们知道黑客可以通过SDR(软件无线电)向GSM基础设施发起攻击,截获特定号码的网络消息和短信消息。

攻击者的目标

这一事件中出现了很多的受害者,首先是被劫持域名的公司本身,其次还有访问黑客伪造的网站然后下载了恶意软件的用户们。很明显,这种情况下的域名劫持只是为那些没有太多警惕性的人准备的。黑客通过那些信任这家公司的人,去散播恶意软件,最终成功让他们感染。

根据初步分析,这次事件的恶意软件样本是一个银行木马(Banload),它专门用于窃取巴西银行用户的凭证。

漏洞和建议

黑客会利用不同的漏洞和攻击策略来达到他们的目的,下面我们会讨论一些预防和对抗措施,来减轻类似攻击带来的风险。

双因子身份认证

咱们现在在域名注册商那里启用双因子验证是非常有必要的,这意味着你必须要提供至少两种方法才能证明你的身份,比如密码、硬件/软件令牌,甚至你自己的指纹。

在这次事件的分析中,即使黑客可以重置于域名注册商绑定的Gmail账户,他们也无法获得软件令牌。这次的事件告诉我们,千万不要用短信作为第二重的身份验证,因为手机被盗或者被克隆后,黑客就可以通过短信服务去获取你的身份凭证。

分析与域名注册商绑定的email账户

分析这个email账户是非常重要的,通常它们可以用于重置网站的密码,所以经常会成为许多钓鱼者热衷的目标。如果你偏爱使用email账户进行身份验证的话,建议启用双因子身份认证,这样更不容易被黑。

建立事件响应计划

你需要有一个针对这类事件的详尽的应对措施,咱们总会有用到的时候。

另外,大家需要注意的是,计划中需要包括:

域名注册商的紧急联系方式(联系人和电话号码) 提醒客户的另一个安全途径(非email) 同域名注册商建立常规应急通信流程(如模拟练习)

* 参考来源:Linkedin和SA,FB小编dawner编译,转载请注明来自FreeBuf(FreeBuf.COM)

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2016-11-06

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏木子昭的博客

"杀手级"抓包软件wireshark入门wireshark是什么最基本的过滤规则

wireshark是什么 ? wireshark_logo wireshark是一款抓取数据包的软件,通过它可以看到局域网内的通讯信息 在使用交换机组建局域网的...

41870
来自专栏FreeBuf

宜信防火墙自动化运维之路

做了多年安全运维的我一直想出点干货,经常看众大神分享经验,仰望的同时总是想有一天自己也能贡献点什么。在宜信的这些年工作了许久,经验也积攒了一些,不敢说干货多硬,...

18930
来自专栏顶级程序员

微软一脸懵逼:32TB的Win10源码泄露!

综合自:36氪、 Solidot、快科技、程序猿等媒体 黑客泄露微软 Win 10 大量源代码,数据超过 32 TB 据 theregister 报道,已经有多...

47670
来自专栏ytkah

微信图文消息添加音乐一招搞定 只需修改背景音乐地址

  最近经常听网友问微信图文消息加音乐怎么弄,其实微信公众号添加音乐很简单,复制几行代码到公众平台图文素材中就能实现,只需修改一下背景音乐地址就可以了。   2...

38930
来自专栏安恒信息

研究人员发现MAC上的DLL劫持技术

DDL劫持不仅限于Windows:概念上类似的攻击也存在于OS X系统。 根据安全公司的最新研究,DLL劫持在Mac上也同样适用,可以用来绕过苹果GateK...

30150
来自专栏HaHack

化繁为简的企业级Git管理实战(三):分支管理策略

13640
来自专栏程序员的SOD蜜

闲话权限系统的设计

一、权限的本质 权限管理,首先要理清权限的本质:权限就是对受保护资源的有限许可访问。 理解了权限的本质,就好谈权限的管理了。 权限就是对受保护资源的有限许可访问...

40580
来自专栏做全栈攻城狮

用Android最火的快速开发框架XUtils,进行文件下载

更多原创教程,关注微信公众平台:做全栈攻城狮。及做全栈攻城狮官网:www.8z5.net

35430
来自专栏编程一生

业务高速增长场景下的稳定性建设实战

28520
来自专栏ChaMd5安全团队

Shodan在渗透测试及漏洞挖掘中的一些用法

渗透测试中,第一阶段就是信息搜集,这一阶段完成的如何决定了你之后的进行是否顺利,是否更容易。而关于信息收集的文章网上也是有太多,但是你真的会用吗?...

629110

扫码关注云+社区

领取腾讯云代金券