La minaccia hijack del DNS globale

Qual è la minaccia a livello globale dell'hijack del DNS?

Gli esperti che lavorano per conto di importanti aziende di sicurezza informatica, tra cui Tripwire, FireEye e Mandiant, hanno segnalato un'ondata allarmante di attacchi di hijack del DNS a livello mondiale. Questi attacchi sono diretti a enti governativi, a imprese di telecomunicazioni e tecnologiche in Medio Oriente, Europa, Nord Africa e Nord America.

I ricercatori non hanno identificato pubblicamente i siti presi di mira, ma hanno riconosciuto che la quantità di domini compromessi è misurabile in dozzine. Questi attacchi, in corso almeno dal 2017, vengono utilizzati in combinazione con credenziali precedentemente rubate, in modo da indirizzare gli utenti verso siti web contraffatti che hanno lo scopo di sottrarre credenziali di accesso e altre informazioni riservate.

Sebbene gli attacchi non siano stati rivendicati, molti esperti ritengono che provengano dall'Iran. Svariati indirizzi IP degli aggressori sono stati ricondotti all'Iran, e sebbene sia possibile che stiano operando lo spoofing di IP iraniani a scopo di depistaggio, anche gli obiettivi degli attacchi sembrano ricondurre all'Iran. Tra i siti presi di mira figurano quelli di enti governativi di diverse nazioni del Medio Oriente, dei siti che contengono dati privi di valore finanziario ma che potrebbero risultare preziosi per il governo iraniano.

Come funzionano gli attacchi di hijack del DNS?

Le strategie di attacco messe in atto sono diverse, ma ila loro dinamica è la seguente:

1. L'aggressore crea un sito fittizio che ha l'aspetto e le funzionalità del sito target.
2. L'aggressore mette quindi in atto un attacco mirato (come lo spear phishing) per ottenere le credenziali di accesso al pannello di amministrazione del provider DNS* del sito.
3. Una volta avuto accesso al pannello di controllo, l'aggressore modifica i record DNS del sito(questa pratica è nota come hijack del DNS), in modo che gli utenti che tentano di accedervi vengano reindirizzati verso il sito fittizio.
4. L'aggressore falsifica un certificato di crittografia TLS, che convincerà il browser di un utente che il sito fittizio è invece legittimo.
5. Un utente inconsapevole visita l'URL del sito compromesso e viene reindirizzato verso il sito fittizio.
6. Quando l'utente cerca di accedere al sito contraffatto, le sue credenziali di accesso vengono carpite dall'aggressore.

*Il Domain Name System (DNS) è la rubrica telefonica di Internet. Quando un utente digita un URL, ad esempio ‘google.com’ nel browser, sono i record nei server DNS che indirizzano l'utente verso il server di origine di Google. Se questi record vengono manomessi, gli utenti possono finire in qualche sito dove è meglio non andare.

Come si possono prevenire gli attacchi di hijack del DNS?

I singoli utenti non possono fare molto per tutelarsi dal perdere le proprie credenziali in questo tipo di attacchi. Se l'attaccante è abbastanza meticoloso nella creazione del sito fittizio, può essere molto difficile individuare la differenza. anche per utenti con elevate competenze tecniche.

Un modo per mitigare questi attacchi è fare in modo che i provider DNS rafforzino i propri metodi di autenticazione, adottando misure quali l'autenticazione a due fattori. L'adozione di queste strategie rende molto più difficile per eventuali aggressori accedere ai pannelli di controllo del DNS. È possibile anche aggiornare le regole di sicurezza dei browser, ad esempio analizzando l'origine dei certificati TLS per garantire che provengano da una fonte conforme al dominio su cui vengono utilizzati.