Tehdit aktörleri, hedefleri kimlik avı e -postalarını açıp kötü niyetli bağlantıları tıkladığında ve potansiyel güvenlik açıkları için ağları taramak için etki alanı adı sistemi (DNS) tünelini kullanıyor.
DNS tünelleme, esasen temel bir ağ iletişimi bileşeni olan DNS'yi gizli bir iletişim kanalına dönüştüren DNS sorguları aracılığıyla gönderilen ve alınan verilerin veya komutların kodlanmasıdır.
Tehdit aktörleri, verileri Base16 veya Base64 veya özel metin kodlama algoritmaları gibi çeşitli şekillerde kodlar, böylece TXT, MX, CNAME ve adres kayıtları gibi DNS kayıtlarını sorgularken döndürülebilir.
Bilgisayar korsanları, komut ve kontrol (C2) ve sanal özel ağ (VPN) işlemleri için tekniği kullanan ağ güvenlik duvarlarını ve filtreleri atlamak için genellikle DNS tünelini kullanır. Sansürü atlamak gibi meşru DNS tünel uygulamaları da vardır.
Palo Alto Networks Birimi 42 Güvenlik Araştırma Ekibi, yakın zamanda mağdur izleme ve ağ taramasını içeren kötü niyetli kampanyalarda DNS tünelinin ek kullanımını keşfetti.
"Trkcdn" olarak izlenen ilk kampanya, kimlik avı e -posta içeriği ile kurban etkileşimlerini izlemeye odaklanıyor.
Saldırganlar, açıldığında, FQDN kodlanmış içerik içeren saldırgan kontrollü alt alanlara bir DNS sorgusu gerçekleştiren bir e-postaya içeriği yerleştirir.
Örneğin, 4E09EF9806FB9AF448A5EFCD60395815.trk.simitor [.] Com. 4E09EF9806FB9AF448A5EFCD60395815 ile birincil yetkili bir ad sunucusuna bir CNAME'e karar veren Unit42@-A-gerçek-alan [.] COM [.] Com'un MD5 karmasıdır.
Araştırmacılar, "Bu nedenle, FQDN'ler farklı hedefler arasında değişse de, hepsi CDN.Simitor [.] Com tarafından kullanılan aynı IP adresine iletiliyor" diye açıklıyor.
"Bu yetkili ad sunucusu daha sonra saldırgan kontrollü içerik sunan saldırgan kontrollü bir sunucuya yol açan bir DNS sonucu döndürür. Bu içerik reklamlar, spam veya kimlik avı içeriğini içerebilir.
Bu yaklaşım, saldırganların stratejilerini değerlendirmelerine, geliştirmelerine ve kurbanlarına kötü niyetli yüklerin teslim edilmesini onaylamasına olanak tanır.
Ünite 42'nin raporu, "Spamtracker" olarak adlandırılan spam mesajlarının teslimatını izlemek için DNS tünelini kullanan benzer bir kampanyayı da vurgulamaktadır.
Analistler tarafından tespit edilen ikinci kampanya, "Secshow" adlı kod olarak, ağ altyapılarını taramak için DNS tünelini kullanıyor.
Saldırganlar, ağ düzenlerini haritalamak ve sızma, veri hırsızlığı veya hizmet reddi için yararlanılabilecek potansiyel yapılandırma kusurlarını keşfetmek için IP adreslerini ve zaman damgalarını DNS sorgularına yerleştirir.
Bu kampanyada kullanılan DNS sorguları, gerçek zamanlı veri toplamayı, durum değişikliklerini algılamak ve farklı ağ parçalarının istenmeyen DNS isteklerine tepkisini test etmek için periyodik olarak tekrarlandı.
Tehdit aktörleri, güvenlik araçlarını atlama, algılama ve operasyonel çok yönlülüğü koruma yeteneği de dahil olmak üzere çeşitli nedenlerle pikselleri izleme ve normal ağ tarama araçları gibi daha geleneksel yöntemler üzerinde DNS tünelini tercih eder.
Ünite 42, kuruluşların atipik veya yüksek hacimli istekler gibi olağandışı trafik modelleri ve anomalileri için günlükleri izlemek ve analiz etmek için DNS izleme ve analiz araçlarını uygulamalarını önermektedir.
Ayrıca, ağdaki DNS çözücülerinin yalnızca gerekli sorguları işlemek için sınırlandırılması ve DNS tünelleme kötüye kullanımı potansiyelini azaltması tavsiye edilir.
Android Bug Swees DNS sorguları VPN Kill Switch etkinleştirilse bile
Meerkat Hacker'ları Muddling, Çin’in harika güvenlik duvarını kullanarak DN'leri manipüle ediyor
Telefonunuzu SwiftScan VIP uygulamasından 140 $ ile bir tarayıcıya çevirin
Yeni XZ Backdoor Scanner, herhangi bir Linux ikili olarak implant algılar
Yeni 'Loop DoS' saldırısı 300.000'e kadar çevrimiçi sistemi etkileyebilir
Kaynak: Bleeping Computer