【安全圈】揭秘“Sitting Ducks”DNS攻击：黑客如何毫不费力地接管你的域名

　　在 Sitting Ducks 攻击中，网络犯罪分子利用注册商一级的配置缺陷和 DNS 提供商的所有权验证不足。

　　以 DNS 为重点的安全厂商 Infoblox 以及固件和硬件保护公司 Eclypsium 的研究人员发现，通过 Sitting Ducks 攻击，每天有超过一百万个域名可能被劫持。

　　必赢

　　多年来，多个俄罗斯网络犯罪团伙一直在使用这一攻击载体，并在垃圾邮件活动、诈骗、恶意软件交付、网络钓鱼和数据外渗中利用被劫持的域名。

　　尽管 Snap 公司的安全工程师马修-布莱恩特（Matthew Bryant）在 2016 年首次记录了使 Sitting Ducks 成为可能的问题[1，2]，但与其他更知名的方法相比，该攻击向量仍然是一种更容易劫持域名的方法。

　　- DNS 提供商需要允许在不适当验证所有权或要求访问所有者账户的情况下申请域名

　　这种攻击的变种包括部分无效授权（并非所有名称服务器都配置错误）和重新授权给另一家 DNS 提供商。但是，如果满足蹩脚授权和可利用的提供商条件，域名就会被劫持。

　　Infoblox解释说，攻击者可以在使用不同于注册商的提供商（如网络托管服务）提供的权威 DNS 服务的域名上使用 Sitting Ducks 方法。

　　如果目标域名的权威 DNS 或虚拟主机服务已过期，攻击者只需在 DNS 服务提供商处创建一个账户，就可以申请该域名。

　　威胁者现在可以在该域名下建立一个恶意网站，并配置 DNS 设置，将 IP 地址记录请求解析到假地址；而合法所有者将无法修改 DNS 记录。

　　Infoblox和Eclypsium报告称，自 2018 年和 2019 年以来，他们观察到多个威胁行为体利用坐鸭（或现坐鸭--DNS）攻击载体。

　　从那时起，至少有 35000 起域名劫持案件使用了这种方法。通常情况下，网络犯罪分子持有域名的时间很短，但也有长达一年的情况。

　　还发生过同一域名先后被多个威胁行为者劫持的情况，这些威胁行为者在其行动中使用该域名一到两个月，然后将其转移。

　　GoDaddy 已被确认为 Sitting Ducks 攻击的受害者，但研究人员称，目前还有六家 DNS 提供商存在漏洞。

　　未具名行为者- 一些规模较小且未知的威胁行为者创建了 TDS、垃圾邮件分发和网络钓鱼网络。

　　域名所有者应定期检查其 DNS 配置是否存在防护不足的授权，尤其是较老的域名，并在注册商或权威名称服务器上更新授权记录，提供适当的、活跃的 DNS 服务。

　　建议注册商主动检查包含弱电点的授权，并提醒所有者。他们还应确保在传播名称服务器授权之前已建立 DNS 服务。

上一篇：浙文互联董秘回复： 抱歉给您带来的不便目前相关问题已修复我们

下一篇：大庆警方破获全国首起涉及通信运营商DNS劫持案21人“流量劫