CyberGlossary

Атаки и угрозы

Захват DNS

Определение

Атака, при которой DNS-разрешение перенаправляется на ответы под контролем злоумышленника через изменение настроек клиента, маршрутизатора, ответов резолвера или авторитативных DNS-записей.

Захват DNS — это семейство техник, подменяющих DNS-путь между пользователем и целевой службой. Он может происходить на конечном устройстве (вредоносное ПО меняет настройки DNS или hosts), на домашнем или корпоративном маршрутизаторе (взломанный CPE), на рекурсивном резолвере (отравление кэша или MitM) или у авторитативного DNS-провайдера (компрометация аккаунта, кража учётных данных, злоупотребление у регистратора). С захваченным DNS атакующие могут перехватывать почту, выпускать TLS-сертификаты на захваченные имена, проводить фишинг против легитимного домена или облегчать другие вторжения — как в кампаниях DNSpionage и Sea Turtle. Меры: DNSSEC, registry/registrar locks, записи CAA, мониторинг DNS-записей и логов Certificate Transparency, MFA на аккаунтах DNS-провайдеров, использование доверенных рекурсивных резолверов (DoH/DoT).

Примеры

  • Атакующие захватывают аккаунт у регистратора, меняют NS-записи жертвы на собственные DNS и выпускают TLS-сертификат, чтобы выдать себя за сайт.
  • Вредоносное ПО на роутере тихо переключает все домашние устройства на вредоносный резолвер, перенаправляющий банковские домены на фишинговые серверы.

Связанные термины