Перехват DNS (DNS hijacking) — атака, которая меняет разрешение доменных имён — на устройстве, роутере, резолвере или у регистратора, — чтобы пользователи попадали на серверы, контролируемые атакующим.
Как работает перехват DNS
Система доменных имён переводит имена в IP-адреса, поэтому тот, кто контролирует ответы, контролирует и направление трафика. Атакующие могут вмешаться на нескольких уровнях:
- Локальный перехват — вредоносное ПО меняет настройки DNS на компьютере. Так действовал троян DNSChanger на миллионах машин, пока в 2011 году его не остановила операция ФБР Ghost Click.
- Перехват через роутер — пароли по умолчанию или уязвимости домашних роутеров позволяют направить все устройства в сети на подставной резолвер, как это делала кампания GhostDNS в 2018 году.
- Перехват записей — украденные учётные данные регистратора или DNS-хостинга позволяют напрямую изменить авторитативные записи домена.
- Манипуляции на резолвере — подставные или скомпрометированные резолверы провайдера возвращают ложные ответы, иногда ради рекламы или цензуры.
Близкая, но иная техника — отравление кэша DNS: поддельные ответы попадают в кэш резолвера без изменения каких-либо настроек.
Почему это важно
Перехват DNS позволяет проводить фишинг на «правильном» домене, перехватывать почту и получать действительные TLS-сертификаты для серверов атакующего. Кампании DNSpionage и Sea Turtle (2018–2019) таким образом перенаправляли домены госструктур и телеком-компаний на Ближнем Востоке и в других регионах; в январе 2019 года американское агентство CISA выпустило в связи с этим экстренную директиву 19-01 о вмешательстве в DNS-инфраструктуру.
Как защититься
- Защитить учётные записи у регистратора и DNS-провайдера многофакторной аутентификацией и включить блокировку на уровне регистратора или реестра (см. угон домена).
- Подписывать зоны DNSSEC и отслеживать изменения DNS-записей и журналы Certificate Transparency.
- Менять пароли роутеров по умолчанию и обновлять их прошивку.
- Использовать доверенные резолверы с шифрованием, например DNS over HTTPS.
