首页 > 行业新闻 >  域名劫持事件发生后的应急响应策略

域名劫持事件发生后的应急响应策略

t016457271de0aa6c3c

Morphus实验室讲述了这样一个故事,在某周六的早上,你作为一家大公司的CSO(首席安全官),突然开始收到了雪片般飞来的消息。他们告诉你有游客在访问了你公司的网址后,浏览到了各种恶意内容。

这听起来像是公司网站出现了混乱,其实可能发生了更严重的的事情。当你深入研究后会发现,公司整个域名都被黑客劫持了,他们试图从你们客户那里窃取数据并且传播恶意代码。在本文中,我们会详细介绍针对上述场景的应急响应方案。另外,这一威胁对信息安全策略和安全布局的颠覆,我们可以用一些简单的方法进行缓解。

DNS基础知识

为了更好地理解到底发生了什么,我们需要了解一些DNS的基本概念。

DNS即域名系统,是互联网能够正常运营的基础。我们每天使用的网站和其他网络服务的名字,都需要借助因特网协议转换为IP地址,DNS服务器就在其间起一个翻译的作用。

DNS服务器以层级架构的方式工作,当解析请求传递给相应的DNS服务器时,它会负责解决问题。DNS服务器的根节点,可以比拟为任意网站域名最后看不见的一个点,它们分布在全世界不同的地方。这些根DNS服务器必须知道控制顶级域名DNS服务器(比如“.com”)的IP地址。同样,“.com”DNS服务器也需要知道控制你公司域名的DNS服务器(比如“yourdomain.com”)的IP地址。

举个例子,有DNS请求需要解析“www.yourdomain.com”,在请求包到达了根DNS服务器“.”之后,反过来又会下放到“.com”服务器,接着再到你公司的DNS服务器,最后它会解析“www”域名,然后返回正确的地址给你。

这些顶级域名(比如“.com”)由域名注册商把控,这些域名注册商也被称作NIC(网络信息中心)。它们会管理自己负责的注册域名,同时专门配置DNS服务器的IP地址,来负责解析如“yourdomain.com”等域名。

域名劫持

无论你在哪家域名注册商注册或者管理一个域名,必须先在他们那里创建一个账户。这个账户可以把域名注册商的DNS服务器IP地址,指向你的网站或者email服务器的IP地址。

这样一来,域名注册商网站的账户信息会显得非常重要。一旦有不怀好意的人获取到这些信息,就能任意操作你的域名配置以及你DNS服务器的IP地址。简而言之,他们可以将你们公司的域名和邮件劫持到他那儿。

我们现在回过来看看,故事中到底发生了什么:

黑客盗窃了该公司在域名注册网站的身份凭证,登进去改变了主/次DNS服务器配置,将其指向了黑客自己的地址。之后,该公司的客户访问的都是黑客伪造的网站,然后下载了黑客准备的恶意内容。我们可以猜测,罪犯的目的很可能是为了传播恶意软件。

事件响应

与大多数网络事件一样,你只需要加载备份和配置就能恢复你的基础设施。在这个事件当中,所有的服务器其实并没有受到损害。

在这些情况下,你有两件事要做:

第一,找回域名注册网站上的登陆凭证。

第二,提醒你的客户网站已经被黑,千万不能再在上面下载任何内容。

注意,你这个时候千万不能使用你公司的email去发送消息,因为黑客很可能已经控制了你们的email服务,甚至正在窃听你们公司所有的通信内容。我们这里建议,你可以通过公司的社交网络账户或者其他渠道去发送这些通知。

我们认为,黑客之所以选择在周末进行袭击,那是因为这时候是比较难恢复网络环境的。这次事件发生在周六早上11点,直到下午5点左右该公司才将DNS配置为正确的服务器。但是事情到了这里还没完,由于黑客的恶意改动,客户在接下来几个小时内仍然访问到的是伪造的网站,这一直持续到了因特网上DNS缓存进行了更新才结束。本来黑客为公司域名设置了24小时的TTL值,这意味着DNS服务器会在接下来的24小时内用黑客的IP来解析公司域名。

公司想要加快恢复的唯一途径,是联系国内负责主DNS服务器的网络运营商,然后请求他们刷新DNS配置。

当做好这一切后,情况终于开始恢复。

网站凭证是如何失窃的

在这期间,公司应急响应团队中有一部分人员负责恢复网络环境,另一部分人员开始分析凭证失窃的原因。

在向负责此事的DNS管理员问询后,我们收集到一些值得注意的信息:

他在域名注册商那里,绑定了一个Gmail账户,这可以用来进行密码找回。在这次事件发生之前,他的手机至少在4小时内出现无服务的情况,而重置Gmail密码的短信正需要这台手机。

经过公司调查人员的努力,发现Gmail的密码确实在那段时间被人通过手机进行了更改。另外,根据收到的证据表明,这只可能是因为手机被克隆了。

目前,这一假设是非常合理的,我们知道黑客可以通过SDR(软件无线电)向GSM基础设施发起攻击,截获特定号码的网络消息和短信消息。

攻击者的目标

这一事件中出现了很多的受害者,首先是被劫持域名的公司本身,其次还有访问黑客伪造的网站然后下载了恶意软件的用户们。很明显,这种情况下的域名劫持只是为那些没有太多警惕性的人准备的。黑客通过那些信任这家公司的人,去散播恶意软件,最终成功让他们感染。

根据初步分析,这次事件的恶意软件样本是一个银行木马(Banload),它专门用于窃取巴西银行用户的凭证。

漏洞和建议

黑客会利用不同的漏洞和攻击策略来达到他们的目的,下面我们会讨论一些预防和对抗措施,来减轻类似攻击带来的风险。

双因子身份认证

咱们现在在域名注册商那里启用双因子验证是非常有必要的,这意味着你必须要提供至少两种方法才能证明你的身份,比如密码、硬件/软件令牌,甚至你自己的指纹。

在这次事件的分析中,即使黑客可以重置于域名注册商绑定的Gmail账户,他们也无法获得软件令牌。这次的事件告诉我们,千万不要用短信作为第二重的身份验证,因为手机被盗或者被克隆后,黑客就可以通过短信服务去获取你的身份凭证。

分析与域名注册商绑定的email账户

分析这个email账户是非常重要的,通常它们可以用于重置网站的密码,所以经常会成为许多钓鱼者热衷的目标。如果你偏爱使用email账户进行身份验证的话,建议启用双因子身份认证,这样更不容易被黑。

建立事件响应计划

你需要有一个针对这类事件的详尽的应对措施,咱们总会有用到的时候。

另外,大家需要注意的是,计划中需要包括:

域名注册商的紧急联系方式(联系人和电话号码)

提醒客户的另一个安全途径(非email)

同域名注册商建立常规应急通信流程(如模拟练习)

此答案有用么?
LiveZilla Live Chat Software