El sinkholing es una técnica defensiva que redirige el tráfico dirigido a dominios o direcciones IP maliciosos hacia un servidor controlado por investigadores o fuerzas del orden, aislando al malware de sus operadores.
Cómo funciona el sinkholing
La mayor parte del malware contacta con su servidor de comando y control mediante un nombre de dominio. Si los defensores toman el control de ese dominio (registrándolo antes, en cooperación con el registro o mediante una orden judicial), pueden apuntarlo a su propio servidor «sinkhole». Los equipos infectados se conectan entonces al sinkhole en lugar de a los delincuentes y no reciben más órdenes. Variantes:
- Sinkholing de dominios: modificar los registros DNS de dominios maliciosos incautados o registrados de antemano.
- Sinkholes DNS dentro de la empresa: el resolutor interno devuelve una dirección inocua para dominios maliciosos conocidos, como en los cortafuegos DNS y las response policy zones.
- Sinkholing de IP o BGP: desviar el tráfico hacia un rango de direcciones a nivel de red.
Por qué importa el sinkholing
Los sinkholes desarticulan botnets y además revelan cuántos dispositivos están infectados y dónde, porque cada bot se reporta al sinkhole. Los investigadores usan esos registros para avisar a proveedores de internet y víctimas. Casos destacados:
- Conficker (2009): un grupo de trabajo del sector registró de antemano los dominios que el gusano generaba cada día.
- WannaCry (2017): el investigador Marcus Hutchins registró un dominio no registrado hallado en el código, que actuó como interruptor de emergencia (kill switch) y detuvo la propagación del ransomware.
- Avalanche (2016): una operación policial internacional incautó y redirigió a sinkholes cientos de miles de dominios usados por infraestructura criminal.
Limitaciones
Los autores de malware responden con algoritmos de generación de dominios, direcciones IP codificadas, redes peer-to-peer y canales de reserva. Además, el sinkholing no limpia los equipos infectados: solo los neutraliza hasta que sus propietarios reciben el aviso y eliminan el malware.
