發布編號 | NCCST-ANA-2019-0013 | 發布時間 | Wed Jan 30 11:19:52 CST 2019 |
事件類型 | 攻擊活動預警 | 發現時間 | Tue Jan 22 00:00:00 CST 2019 |
警訊名稱 | 駭客利用域名解析服務進行資訊竊取攻擊活動預警 | ||
內容說明 | US-CERT與國際資安廠商公布駭客利用域名解析服務(Domain Name Service, DNS)進行下列二種資訊竊取攻擊： 1. 域名解析服務劫持(DNS Hijacking) 1.1 劫持方式(1)：入侵DNS伺服器，竄改其資源記錄(Resource Records)中的A Record，將合法網站之主機名稱(Domain Name)對應至駭客控制之中繼站IP。當使用者欲連線至該網站時，便會連線至駭客控制的中繼站。 1.2 劫持方式(2)：入侵網域註冊商或國家頂級域名主機，竄改其資源記錄中的NS Record，將特定網域之NS主機指向駭客控制之DNS伺服器。當使用者欲連線至該網域下之任何主機名稱時，便會轉而向駭客控制之DNS伺服器進行查詢，進而連線至駭客控制之中繼站。 2.利用DNS伺服器作為中繼站，進行資訊竊取行為 駭客入侵使用者資訊設備後，惡意程式利用DNS查詢機制，將敏感資訊隱藏在查詢內容中，傳送到駭客所架設之名稱查詢伺服器，駭客可利用DNS往返通訊，傳輸控制命令或竊取機敏資料。 上述二種利用名稱解析服務所進行的攻擊，不易被察覺，請進行資源記錄確認與DNS伺服器連線紀錄檢查，相關IP/Domain黑名單資料後列。 | ||
影響等級 | 中 | ||
建議措施 | 1. 域名解析服務劫持攻擊，建議檢查措施： 1.1 使用防毒軟體檢查DNS伺服器是否受惡意程式感染。 1.2 確認DNS伺服器上的資源記錄是否正確。 1.3 確認網域註冊商上的資源記錄是否正確。 1.4 使用多因子身分認證，強化DNS伺服器登入與異動管理。 2.名稱查詢服務資訊竊取攻擊，建議檢查措施： 2.1 使用防毒軟體檢查資訊設備是否受惡意程式感染。 2.2 檢查是否有資訊設備嘗試連線至下列IP/Domain黑名單： 185.20.184.138 185.20.187.8 185.161.211.72 0ffice36o[.]com hr-wipro[.]com hr-suncor[.]com 2.3 透過防火牆規則限制資訊設備可對外連線的DNS伺服器位址。 | ||
參考資料 | https://www.us-cert.gov/ncas/current-activity/2019/01/10/DNS-Infrastructure-Hijacking-Campaign https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html | ||