DNS漏洞使国家级间谍活动像注册域一样简单

一种涉及使用特定名称注册域的新域名系统 (DNS) 攻击方法可用于研究人员所描述的“国家级间谍活动”。

Wiz首席技术官Ami Luttwak和Shir Tamari于上周在拉斯维加斯举行的Black Hat网络安全会议上公布展示了他们发现的一类新漏洞，这些漏洞暴露了来自全球数百万个端点的宝贵动态DNS数据。DNS(域名服务)是互联网的基础之一，是一个极其复杂和分散的系统，其核心是将可读域名转换为数字IP地址。

Black Hat有一项令人自豪的DNS研究传统，最著名的是在2008年，已故伟大的丹·卡明斯基通过揭露互联网的一些基本缺陷阻止了互联网世界末日。一般来说，从那时起，DNS变得更加安全了。尽管如此，DNS漏洞通常很关键，因为它们使全球数十亿设备处于危险之中。

如今，托管DNS 提供商(例如 Amazon Route53、Google Cloud DNS 和 Akamai等)的兴起以及远程工作的无处不在，正在为这一为世界设计的数十年历史的协议结构中延伸并撕裂新的漏洞员工和服务器都在“本地”。

我们收到了哪些流量？

他们在对Amazon Route 53(一种提供给 AWS 用户的云DNS Web服务)进行分析时发现了这种攻击方法。Route 53提供大约2000个DNS服务器，其名称如ns-852.awsdns-42.net。Wiz研究人员发现，如果他们将域链接到他们控制的服务器的IP地址，则注册具有此类名称的域并将其添加到Route 53中的具有相同名称的DNS服务器会产生一些有趣的结果。

研究人员解释说：“每当DNS客户端向该名称服务器查询自身信息时（数千台设备会自动更新其托管网络中的IP地址），流量将直接发送到我们的IP地址。”在他们的Black Hat演讲之后发表的一篇博文说道。

他们声称已收到来自15000多个组织的DNS流量，其中包括财富500强公司、45个美国政府机构和85个来自其他国家/地区的政府机构。截获的数据包括内部和外部IP地址、计算机名称、用户名和办公地点。

此数据包含在来自Windows设备的动态DNS流量。据研究人员称，该问题与 Windows设备IP地址更改时用于查找和更新主DNS服务器的算法有关。

为什么我们会收到这样的流量？

简短的回答是，Microsoft机器使用独特的算法来查找和更新IP地址更改时的主DNS服务器。最终该算法将查询被劫持的域名服务器以获得它自己的地址。结果？由于我们已将该服务器定向到我们的恶意IP地址，因此我们开始接收所有查询流量。

为了更好地理解这一点，假设一名Wiz员工决定在家工作 - 就像我们大多数人最近一样 - 并连接到他们的家庭WiFi。他们的工作笔记本电脑从他们的家用路由器获得一个内部IP地址，并会尝试找到公司的本地主服务器以使用这个新地址更新它。

最终，端点将尝试更新主服务器，这是一个管理数千个客户的AWS共享服务器。AWS名称服务器不支持动态DNS更新，因此更新请求将失败。

到目前为止，Microsoft算法完全按预期工作，此时它应该停止并放弃更新主服务器。但事实并非如此——这就是问题出现的地方。微软并没有放弃，而是尝试以另一种方式找到主DNS服务器。下一步将检查 Wiz 的名称服务器是否有主服务器的记录。  

AWS的名称服务器使用我们提供的IP地址进行响应，在本例中为1.3.3.7。这是Windows端点发送动态更新的地方……无意中将其内部 IP 地址、计算机名称和其他信息泄露到我们的恶意DNS服务器。

如何使用这些数据？

“[泄露的流量]让任何人都可以鸟瞰公司和政府内部发生的事情。我们将其比作拥有民族国家级的间谍能力——而且获得它就像注册一个域一样容易，”研究人员说。

为了证明此类攻击的潜在影响，他们使用收集到的数据根据从40000多台计算机收到的流量绘制了一家大型服务公司员工的位置图。

他们声称，这种位置映射还使他们能够确定一家大型商品贸易公司和一家大型信用合作社的子公司显然在受美国制裁的国家/地区拥有员工，这将违反这些制裁。

谁负责解决问题？

在得知这个问题后，亚马逊和谷歌实施了修复，但Wiz认为其他DNS提供商也可能存在漏洞，这意味着此类攻击仍然可能发生。

微软也收到了通知，但这家科技巨头表示，这是“组织使用外部DNS解析器时发生的已知错误配置”，而不是漏洞。

Wiz表示，虽然服务提供商可以采取一些措施来防止此类事件发生，但组织可以通过确保正确配置DNS解析器以防止动态DNS更新离开内部网络来防止此类数据泄漏。

参考文章：

Black Hat 2021: DNS loophole makes nation-state level spying as easy as registering a domain：

https://www.wiz.io/blog/black-hat-2021-dns-loophole-makes-nation-state-level-spying-as-easy-as-registering-a-domain

原文来源：红数位

“投稿联系方式：010-82992251   [email protected]”

本文始发于微信公众号（网络安全应急技术国家工程实验室）：DNS漏洞使国家级间谍活动像注册域一样简单