bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · NetzwerkeKuratiert

DNSpionage: Wenn der Registrar zum Angriffspfad wird

Zusammenfassung

Brian Krebs verfolgt die DNSpionage-Kampagne über passive DNS-Daten und zeigt, dass Angreifer Ende 2018 die DNS-Einträge von mehr als 50 Behörden und Unternehmen im Nahen Osten umlenkten. Der Weg führte über gestohlene Zugänge bei Registraren, mit denen die Angreifer per EPP Änderungen direkt an die Registries schickten. Netnod und Packet Clearing House schildern, wie weit DNSSEC sie schützte und wo es versagte.

Vom Registrar zum gültigen Zertifikat

Wer den Zugang zum Registrar hat, kann die Nameserver einer Domain ändern. Die Angreifer lenkten Mail- und VPN-Namen auf eigene Server in Europa und ließen sich kurz darauf Zertifikate bei Comodo oder Let's Encrypt ausstellen. Domainvalidierung prüft nur, wer die Domain gerade kontrolliert. Abgefangene Anmeldungen sahen für die Nutzer daher korrekt verschlüsselt aus.

Bei PCH lief jede Umleitung nur etwa eine Stunde. Das genügte, weil Smartphones ständig neue Mails abrufen und dabei ihre Zugangsdaten senden.

Was DNSSEC leistete und was nicht

Netnod erlebte drei Angriffe. Die ersten beiden trafen Server ohne DNSSEC. Beim dritten schalteten die Angreifer DNSSEC über den Registrar-Zugang kurz ab, holten sich Zertifikate und schalteten es wieder ein. Beim eigentlichen Umleiten vergaßen sie, es erneut abzuschalten, und der Angriff lief ins Leere.

PCH validiert DNSSEC auf der gesamten eigenen Infrastruktur, und daran scheiterte der Angriff fast vollständig. Erwischt wurden nur zwei reisende Mitarbeiter: Captive Portals in Hotels zwangen ihre iPhones auf fremde DNS-Server, und in dieser Zeit holten die Mailprogramme neue Nachrichten ab.

Die Reaktion der US-Regierung

CISA erließ am 22. Januar 2019 die Notfallanweisung ED 19-01. Bundesbehörden mussten binnen zehn Werktagen ihre DNS-Einträge prüfen, die Passwörter aller DNS-Konten ändern, dort Mehrfaktor-Anmeldung einführen und Certificate-Transparency-Logs auf nicht beantragte Zertifikate überwachen. SMS als zweiten Faktor empfahl CISA ausdrücklich nicht.

Ideen

  • Gestohlene Registrar-Zugänge umgehen alle Schutzmaßnahmen auf den eigenen Servern.
  • Über EPP gelangen Änderungen vom Registrar direkt in die Registry.
  • Wer die Domain kontrolliert, erhält domainvalidierte Zertifikate ohne weitere Prüfung.
  • Einstündige Umleitungen reichen, weil Mailprogramme ständig Zugangsdaten senden.
  • Validierendes DNSSEC stoppte bei PCH fast den gesamten Angriff.
  • Captive Portals zwingen Geräte auf fremde Resolver und umgehen so die DNSSEC-Validierung.
  • Keiner von drei kommerziellen DNS-Überwachungsdiensten bemerkte die Umleitungen bei PCH.

Einsichten

  • Die Domainverwaltung gehört zur Sicherheitsgrenze jeder Organisation.
  • Ein gültiges Zertifikat belegt nur, wer die Domain bei der Ausstellung kontrollierte.
  • DNSSEC schützt die Daten, aber nicht vor jemandem, der die Delegation beim Registrar ändern kann.

Zitate

  • The two people who did get popped, both were traveling and were on their iPhones, and they had to traverse through captive portals during the hijack period. (Bill Woodcock)
  • Luckily for us, they forgot to remove that when they launched their man-in-the-middle attack. (Lars Michael Jogbäck)

Fakten

  • Cisco Talos beschrieb DNSpionage erstmals am 27. November 2018.
  • Laut APNIC hatten damals nur etwa 20 Prozent der großen Netze und Websites DNSSEC aktiviert.
  • PCH zählte vier Angriffe zwischen dem 13. Dezember 2018 und dem 2. Januar 2019.
  • PCH fragt die eigene DNS-Infrastruktur seitdem mehrmals pro Stunde ab und alarmiert bei jeder Änderung.
  • Netnod hatte zuvor nicht alle Domains mit einer Domain-Sperre beim Registrar gesichert.

Referenzen

Kritik

  • Krebs beschreibt DNSSEC so, als würden DNS-Anfragen signiert und ein Nameserver prüfe, ob ein Eintrag unterwegs verändert wurde. Tatsächlich signiert der Zonenbetreiber die Antworten, und ein validierender Resolver prüft die Signaturkette bis zur Root (RFC 4033). Genau deshalb half DNSSEC nicht gegen Angreifer, die beim Registrar die Delegation selbst ändern konnten.

Bemerkungen

  • Die Zuordnung zu Iran stammt von Sicherheitsfirmen und Bill Woodcock; der Beitrag spricht von „suspected Iranian hackers“.

Empfehlungen

  • Sichere Registrar-Konten mit phishingresistenter Mehrfaktor-Anmeldung und Registry Lock.
  • Überwache NS-, MX- und A-Einträge selbst mehrmals pro Stunde statt einmal täglich.
  • Lass dich über neue Zertifikate deiner Domains aus Certificate-Transparency-Logs benachrichtigen.
  • Signiere Zonen mit DNSSEC und validiere auf den eigenen Resolvern.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2015

Das Internet der bereits gefährlichen Dinge

Brian Krebs verbindet im Januar 2015 neue Zahlen von Arbor Networks zu DDoS-Angriffen mit den Attacken auf die eigene Seite. Die größten Angriffe der Monate davor nutzten SSDP, ein Protokoll, über das UPnP-Geräte ab Werk Anfragen aus dem Internet beantworten. Für Brian Krebs liegt die Gefahr nicht in einem künftigen Internet der Dinge, sondern in den Geräten, die schon heute erreichbar sind.

Stalwart Labs · 2026

Stalwart 1.0: Der Mailserver in Rust wird stabil und verlangt einen letzten Umzug

Stalwart Labs kündigt im Blogbeitrag seines Projektbetreuers die Version 1.0 des in Rust geschriebenen Mail- und Kollaborationsservers an, fünf Jahre nach dem ersten Commit. Schwerpunkte sind ein endgültiges Datenbankschema, das künftige Updates ohne Datenumzug erlauben soll, und eine Leistungsoffensive mit neu geschriebenen Parsern, weniger Datenbankzugriffen und einer neuen Volltextsuche. Der Beitrag zeigt, was Betreiber beim Umstieg von 0.16 prüfen müssen, wie belastbar der Vergleich mit Postfix und Dovecot ist und warum das Projekt seine Tests nicht mehr veröffentlicht.