域名劫持事件发生后的应急响应策略

Morphus实验室讲述了这样一个故事，在某周六的早上，你作为一家大公司的CSO（首席安全官），突然开始收到了雪片般飞来的消息。他们告诉你有游客在访问了你公司的网址后，浏览到了各种恶意内容。

这听起来像是公司网站出现了混乱，其实可能发生了更严重的的事情。当你深入研究后会发现，公司整个域名都被黑客劫持了，他们试图从你们客户那里窃取数据并且传播恶意代码。在本文中，我们会详细介绍针对上述场景的应急响应方案。另外，这一威胁对信息安全策略和安全布局的颠覆，我们可以用一些简单的方法进行缓解。

DNS基础知识

为了更好地理解到底发生了什么，我们需要了解一些DNS的基本概念。

DNS即域名系统，是互联网能够正常运营的基础。我们每天使用的网站和其他网络服务的名字，都需要借助因特网协议转换为IP地址，DNS服务器就在其间起一个翻译的作用。

DNS服务器以层级架构的方式工作，当解析请求传递给相应的DNS服务器时，它会负责解决问题。DNS服务器的根节点，可以比拟为任意网站域名最后看不见的一个点，它们分布在全世界不同的地方。这些根DNS服务器必须知道控制顶级域名DNS服务器（比如”.com”）的IP地址。同样，“.com”DNS服务器也需要知道控制你公司域名的DNS服务器（比如“yourdomain.com”）的IP地址。举个例子，有DNS请求需要解析“www.yourdomain.com”，在请求包到达了根DNS服务器“.”之后，反过来又会下放到“.com”服务器，接着再到你公司的DNS服务器，最后它会解析“www”域名，然后返回正确的地址给你。

这些顶级域名（比如”.com”）由域名注册商把控，这些域名注册商也被称作NIC（网络信息中心）。它们会管理自己负责的注册域名，同时专门配置DNS服务器的IP地址，来负责解析如“yourdomain.com”等域名。

域名劫持

无论你在哪家域名注册商注册或者管理一个域名，必须先在他们那里创建一个账户。这个账户可以把域名注册商的DNS服务器IP地址，指向你的网站或者email服务器的IP地址。

这样一来，域名注册商网站的账户信息会显得非常重要。一旦有不怀好意的人获取到这些信息，就能任意操作你的域名配置以及你DNS服务器的IP地址。简而言之，他们可以将你们公司的域名和邮件劫持到他那儿。

我们现在回过来看看，故事中到底发生了什么：

黑客盗窃了该公司在域名注册网站的身份凭证，登进去改变了主/次DNS服务器配置，将其指向了黑客自己的地址。之后，该公司的客户访问的都是黑客伪造的网站，然后下载了黑客准备的恶意内容。我们可以猜测，罪犯的目的很可能是为了传播恶意软件。

事件响应

与大多数网络事件一样，你只需要加载备份和配置就能恢复你的基础设施。在这个事件当中，所有的服务器其实并没有受到损害。

在这些情况下，你有两件事要做：

第一，找回域名注册网站上的登陆凭证。

第二，提醒你的客户网站已经被黑，千万不能再在上面下载任何内容。注意，你这个时候千万不能使用你公司的email去发送消息，因为黑客很可能已经控制了你们的email服务，甚至正在窃听你们公司所有的通信内容。我们这里建议，你可以通过公司的社交网络账户或者其他渠道去发送这些通知。

我们认为，黑客之所以选择在周末进行袭击，那是因为这时候是比较难恢复网络环境的。这次事件发生在周六早上11点，直到下午5点左右该公司才将DNS配置为正确的服务器。但是事情到了这里还没完，由于黑客的恶意改动，客户在接下来几个小时内仍然访问到的是伪造的网站，这一直持续到了因特网上DNS缓存进行了更新才结束。本来黑客为公司域名设置了24小时的TTL值，这意味着DNS服务器会在接下来的24小时内用黑客的IP来解析公司域名。

公司想要加快恢复的唯一途径，是联系国内负责主DNS服务器的网络运营商，然后请求他们刷新DNS配置。

当做好这一切后，情况终于开始恢复。

网站凭证是如何失窃的

在这期间，公司应急响应团队中有一部分人员负责恢复网络环境，另一部分人员开始分析凭证失窃的原因。

在向负责此事的DNS管理员问询后，我们收集到一些值得注意的信息：

他在域名注册商那里，绑定了一个Gmail账户，这可以用来进行密码找回。在这次事件发生之前，他的手机至少在4小时内出现无服务的情况，而重置Gmail密码的短信正需要这台手机。

经过公司调查人员的努力，发现Gmail的密码确实在那段时间被人通过手机进行了更改。另外，根据收到的证据表明，这只可能是因为手机被克隆了。

目前，这一假设是非常合理的，我们知道黑客可以通过SDR（软件无线电）向GSM基础设施发起攻击，截获特定号码的网络消息和短信消息。

攻击者的目标

这一事件中出现了很多的受害者，首先是被劫持域名的公司本身，其次还有访问黑客伪造的网站然后下载了恶意软件的用户们。很明显，这种情况下的域名劫持只是为那些没有太多警惕性的人准备的。黑客通过那些信任这家公司的人，去散播恶意软件，最终成功让他们感染。

根据初步分析，这次事件的恶意软件样本是一个银行木马（Banload），它专门用于窃取巴西银行用户的凭证。

漏洞和建议

黑客会利用不同的漏洞和攻击策略来达到他们的目的，下面我们会讨论一些预防和对抗措施，来减轻类似攻击带来的风险。

双因子身份认证

咱们现在在域名注册商那里启用双因子验证是非常有必要的，这意味着你必须要提供至少两种方法才能证明你的身份，比如密码、硬件/软件令牌，甚至你自己的指纹。

在这次事件的分析中，即使黑客可以重置于域名注册商绑定的Gmail账户，他们也无法获得软件令牌。这次的事件告诉我们，千万不要用短信作为第二重的身份验证，因为手机被盗或者被克隆后，黑客就可以通过短信服务去获取你的身份凭证。

分析与域名注册商绑定的email账户

分析这个email账户是非常重要的，通常它们可以用于重置网站的密码，所以经常会成为许多钓鱼者热衷的目标。如果你偏爱使用email账户进行身份验证的话，建议启用双因子身份认证，这样更不容易被黑。

建立事件响应计划

你需要有一个针对这类事件的详尽的应对措施，咱们总会有用到的时候。

另外，大家需要注意的是，计划中需要包括：

域名注册商的紧急联系方式（联系人和电话号码）

提醒客户的另一个安全途径（非email）

同域名注册商建立常规应急通信流程（如模拟练习）

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。