Синкхолінг (sinkholing) — захисна техніка, за якої трафік, призначений шкідливим доменам або IP-адресам, переспрямовується на сервер дослідників чи правоохоронців, відрізаючи шкідливе ПЗ від його операторів.
Як працює синкхолінг
Більшість шкідливих програм зв’язується зі своїм командним сервером за доменним іменем. Якщо захисники отримують контроль над цим доменом — зареєструвавши його першими, у співпраці з реєстром або за рішенням суду, — вони спрямовують його на власний сервер-«поглинач» (sinkhole). Заражені машини підключаються до нього замість злочинців і більше не отримують команд. Основні варіанти:
- Синкхолінг доменів — зміна DNS-записів вилучених або заздалегідь зареєстрованих шкідливих доменів.
- DNS-синкхоли всередині компанії — внутрішній резолвер повертає безпечну адресу для відомих шкідливих доменів, як у DNS-фаєрволах і зонах політики відповідей (RPZ).
- Синкхолінг IP або BGP — переспрямування трафіку на діапазон адрес на мережевому рівні.
Чому синкхолінг важливий
Синкхоли руйнують ботнети й водночас показують, скільки пристроїв заражено і де, адже кожен бот звертається до синкхола. За цими журналами дослідники сповіщають провайдерів і жертв. Відомі випадки:
- Conficker (2009) — галузева робоча група заздалегідь реєструвала домени, які хробак генерував щодня.
- WannaCry (2017) — дослідник Маркус Гатчінс зареєстрував знайдений у коді незайнятий домен, який спрацював як «аварійний вимикач» і зупинив поширення програми-вимагача.
- Avalanche (2016) — міжнародна операція правоохоронців вилучила й переспрямувала на синкхоли сотні тисяч доменів злочинної інфраструктури.
Обмеження
Автори шкідливого ПЗ відповідають алгоритмами генерації доменів (DGA), жорстко прописаними IP-адресами, P2P-мережами та резервними каналами. Крім того, синкхолінг не лікує заражені машини, а лише знешкоджує їх, доки власників не сповістять і вони не видалять шкідливе ПЗ.
