Fushata e plaçkitjes së DNS

Një fushatë plaçitjeje e DNS, sipas studiuesve pas sulmeve të fundit që synon organizatat e sigurisë kombëtare dhe infrastrukturën kritike, mund të jenë pjesë e një tendence të re sulmi

Hulumtuesit e sigurisë zbuluan një fushatë plaçkitjeje DNS që synonte organizatat kombëtare të sigurisë dhe entitetet e tjera gjatë dy viteve të fundit.

Fushata, e quajtur Sea Turtle nga studiuesit në Cisco Talos, u përshkrua si sistem shtetëror i emetuar nga emri i domain-it, duke rrëmbyer sulmet kundër objektivave "kryesisht në Lindjen e Mesme dhe Afrikën e Veriut", por kërkuesit frikësohen se sulmet mund të jenë fillimi i një tendence të re .

"Ne jemi të shqetësuar se suksesi i këtij operacioni do të çojë tek aktorët më të gjërë duke sulmuar sistemin global DNS. DNS është një teknologji themelore që mbështet  .  Manipulimi i këtij sistemi ka potencialin për të minuar besimin e përdoruesit në internet. Stabiliteti i sistemit DNS si një e tërë e drejton ekonominë globale ", shkruan hulumtuesit Talos në një postim në blog. "Vendet përgjegjëse duhet të shmangin synimin e këtij sistemi, të punojnë së bashku për të vendosur një normë globale të pranuar që ky sistem dhe organizatat që e kontrollojnë atë janë jashtë kufijve dhe të bashkëpunojnë në ndjekjen e atyre aktorëve që veprojnë në mënyrë të papërgjegjshme duke synuar këtë sistem".

Sipas kërkuesve të Cisco Talos, fushata për rrëmbimin e Sea Turtle DNS filloi në janar të 2017 dhe ishte aktive  ende që nga fillimi i këtij viti. Sulmet kërcënuan rreth 40 organizata në 13 vende. Aksioni i kërcënimit fillimisht kishte në shënjestër DNS registrarët, kompanitë e telekomunikacionit dhe ofruesit e shërbimeve të internetit para se të fillonte sulmet kryesore të rrëmbimit të DNS-it kundër "organizatave kombëtare të sigurisë, ministrive të punëve të jashtme dhe organizatave të shquara të energjisë".

Akterët e kërcënimit u mblodhën letra kredenciale për sistemet DNS duke përdorur sulme njeri-në-mes dhe një hulumtues teknikë të quajtur "simulimi i certifikatës", ku aktorët e kërcënimit morën certifikatën e vlefshme X.509 nga autoritetet e tjera të certifikimit për të njëjtin domain që përdoret nga organizata e synuar . "Për shembull, nëse një certifikatë DigiCert mbronte një faqe interneti, aktorët e kërcënimit do të merrnin një certifikatë për të njëjtën domain, por nga një ofrues tjetër, siç është Let Encrypt ose Comodo", thanë gjatë postimit në blog.

Hulumtuesit e Cisco Talos thanë se një herë aktorët e kërcënimit kishin akses në rrjetin e një organizate të synuar, ata vodhën certifikatat e vlefshme SSL të përdorura për pajisje sigurie dhe aplikacione të tilla si VPN për të mbledhur më shumë kredencialet dhe për të zgjeruar qasjen e tyre në mjedisin e synuar. Craig Williams, drejtor i informimit për Cisco Talos, shkroi me postë elektronike sapo këto letra kredenciale ishin vjedhur, "është pothuajse e pamundur që plotësisht të mbyllësh një fushatë derisa kredencialet të rifitohen, ndryshohen dhe të mbyllen.

"Për të mbrojtur më së miri nga ky lloj sulmi, Talos sugjeron përdorimin e një shërbimi të bllokimit të regjistrit, i cili do të kërkojë një mesazh jashtë grupit para se të ndodhin ndonjë ndryshim në regjistrin DNS të një organizate. Nëse regjistri juaj nuk ofron një bllok regjistrimi shërbimit, ne rekomandojmë zbatimin e legalizimit të shumëfaktorëve, siç është Duo, për të hyrë në dosjet DNS të organizatës suaj, "tha Williams. "Nëse dyshoni se keni qenë në shënjestër nga ky lloj i ndërhyrjes së aktivitetit, ne rekomandojmë vendosjen e një rishkruesi të fjalëkalimeve të rrjetit të gjerë, mundësisht nga një kompjuter në një rrjet të besuar, të monitorojnë rekordet pasive DNS në domenet e tyre, për të kontrolluar anomalitë. "

Në nëntor 2018, Talos raportoi për një fushatë të ngjashme DNS rrëmbimi në Lindjen e Mesme. Në janar, FireEye u zgjerua në atë hulumtim, duke vënë në dukje se sulmet kishin në shënjestër entitetet qeveritare dhe mund të ishin mbështetur nga Irani. Këto raporte e udhëheqën Departamentin e Sigurisë Kombëtare për të urdhëruar agjencitë federale të ngurtësonin sistemet kundër sulmeve të mundshme të plaçkitjes së DNS.

Studiuesit e Talos kanë vendosur që fushata e plaçkitjes së DNS të ishte e pavarur nga fushata e kaluar, por Williams tha: "Kjo është ndoshta një prirje që do të vazhdojmë të evoluojmë dhe të përdorim në shumë vende të botës".

John Hultquist, drejtor i inteligjencës në FireEye, u pajtua dhe shkroi me postë elektronike: "Ne besojmë se kjo është një prirje dhe ne parashikojmë që më shumë aktorë do të përfitojnë nga kjo taktikë".

Ndërmarrjet e rekomanduara nga Hultquist përdorin bllokimin e gjendjes civile, llogaritë e gjendjes civile të auditimit, zbatojnë Zgjerimet e Sigurisë së DNS-it dhe autentifikimin e entiteteve të emëruara me bazë DNS, dhe zbatojnë monitorimin e vazhdueshëm për të zvogluar sulmet.