Исследователи безопасности из компании Cisco обратили (http://blog.talosintel.com/2016/06/detecting-dns-data-exfilt...) внимание на новый способ взаимодействия вредоносного ПО с управляющими серверами, основанный на выполнении операций определения имён в DNS для специально оформленных поддоменов. Например, вредоносное ПО может отправлять данные о перехваченных на системе жертвы паролях и номерах кредитных карт или информировать о поражении новой системы выполняя DNS-запросы вида "log.nu6timjqgq4dimbuhe.3ikfsb[...]cg3.7s3bnxqmavqy7sec.dojfgj.com", в которых при помощи формата base64 в имени поддомена закодированы передаваемые на управляющий сервер данные.
Злоумышленник может принимать данные сообщения, контролируя DNS-сервер для домена dojfgj.com. Механизм достаточно прост в реализации, имеет децентрализованный характер и легко обходит различны межсетевые экраны, вовлекая местные DNS-резолверы в распространение запросов. Администраторам локальных сетей рекомендуется посмотреть лог на подконтрольных DNS-серверах - наличие в логе попыток резолвинга подозрительных длинных имён может стать индикатором наличия поражённых вредоносным ПО систем в локальной сети.URL: http://blog.talosintel.com/2016/06/detecting-dns-data-exfilt...
Новость: http://www.opennet.me/opennews/art.shtml?num=44701
эх, такую бы энергию да в мирных целях... :)
> эх, такую бы энергию да в мирных целях... :)А что есть "мирные цели"?.. ;)
Тут ведь тоже как бы ничего "военного" - просто бизнес. каждый пытается заработать как может в пределах своей личной этики, к тому же стараясь получить удовольствие от процесса...
А навредить при желании можно и детскими игрушками, я уж не говорю о товарах из хозяйственного магазина...
А вот и пример злодея, который пытается убедить в первую очередь самого себя, в своей правоте.
лучший способ, что-либо создать и не навредить - ничего не создавать)
> А вот и пример злодея, который пытается убедить в первую очередь самого
> себя, в своей правоте.По сравнению с российскими законодателями, даже самый наглый кардер - просто пацифист в области информационной безопасности.
Обычное мирное воровство паролей и крякинг. Хоре распространять свою нравственную бесформенность, и так сложно жить.
В мирных целях это называется ip-over-dns: http://code.kryo.se/iodine/
Спасибо, товарищ!
В некотором роде подобные случаи, заставляют пересматривать технологии и совершенствовать их
О, скоро dns начнет и кофе ванить.
клоун: Админам предлагается подзаработать, посмотрев в логах DNS номера и PINы чужих кредитных карт.
Палево, а вот продавать телефоны абонов конторам, которые чинят компы - вариант, хотя контролируя траффик вирусню можно и проще детектить, чем логировать днс-запросы, а потом грепать гигабайты скрапа..
>клоун:Я понял теперь твою фишку - тебе лень логиниться, подписываешься прямо в сообщении. Оригинально, чо.
Просто я уникальный. Сообщения из под Ника "клоун" удаляются сразу после добавления.
> Я понял теперь твою фишку - тебе лень логиниться, подписываешься прямо в сообщении.
> Оригинально, чо.На третий день индеец Зоркий Глаз заметил. Бедный грустный клоун уже который месяц страдает.
Глазам своим не верю. Клоун смешно пошутил.
> Глазам своим не верю. Клоун смешно пошутил.С иронией у него проблем нет. Просто он какой-то не добрый...
Зовите мишу, тут офигенная идея для бизнеса
и вы только сейчас заметили что трафик DNS можно использовать как канал передачи данных? действительно как выше упомянули про "зоркий глаз")) хи хи.
днс уже палят на серверах оч давно , просто админы сидящие здесь как то странно заметили только сейчас. вообще можно было организовать и полноценный канал , но вот только его быстрее засекут.
Сформировал оч длинный днс запрос. Надеюсь админ прочитает эту статью, пойдет смотреть длинные запросы в надежде поживиться чужими паролями, а в итоге узнает много нового про свою мамку))))))
Уже был подобны способ спамить - в реферрере спамер передает урл своего сайта, в надежде, что админ туда зайдет
> Уже был подобны способ спамить - в реферрере спамер передает урл своего
> сайта, в надежде, что админ туда зайдетАдмин зайдет, и запустится зловред с правами админа. Многоходовка )
Ах вот ты где. Зайди ко мне в кабинет, я расскажу как тебя зачал.
Вазелина 5 литровую банку припаси, дeб-ил :)
Ибо если админ логает DNS запросы то там есть время и IP - считай что ты паспорт свой приложил! :-))))
ДЪ (С) Наше всиё Лавров С.В.
Ты сам-то кто, с такими глубокими познаниями админов, погромист или юзверь?
https://habrahabr.ru/post/65322/
https://www.opennet.me/tips/2922_dns_file.shtmlЧерез dns-трафик можно и файлы гонять
Да, новизна в новости отсутствует.Давно реализован IP поверх DNS. И тут ВНЕЗАПНО, можно гонять данные и от вредоносных приложений тоже.
А шифровать религия не позволяет?
> А шифровать религия не позволяет?ну так "новый" же способ, открытый брита...подозреваю, рассейским ученым, только что пересдавшим, наконец, хвосты за первый курс.
Остальной мир уже лет десять как использует nstx, iodine и, наверное, еще прорву самодельных туннельчиков.
и да, фигня, разумеется, шифрованная - я как-то унаследовал у хостера айпишник управляющей системы какого-то явно неслабого (судя по траффику и количеству засветившихся клиентов) ботнета, но, увы, так и не придумал, зачем оно мне, а где-то через недельку и владелец спохватился.
Никакой пользы от простого перехвата пакетов вида
IP 62.72.124.225.63345 > me.53: 57868+ A? gpkfqxqhypcpwbsb.www.phxtrade.com.
естестсвенно, нет.
может это был ддос на ns-сервера?
Ты что, у такого бравого иксперта, который борется туннелированием с валидными dns запросами не может быть ддос.
ddos это ровно наоборот - мильен запросов напрямую к не/нужному серверу.
А не проксирование их через единичный чужой хост (который ты первым и заддосишь, естественно, если даже он настроен так что согласится твои запросы куда-то форвардить).
> Остальной мир уже лет десять как использует nstxХы-хы-хы! nstx юзал на курсах в аудитории с запароленным инетом гoду, где-то, в 2003—2004-м...
> А шифровать религия не позволяет?хотя бы тупо ксорить (онтаймпад эдакий)
Исследователи безопасности из компании Cisco узнали про dns-туннели, ну афигеть теперь.
В "Младшем брате" читал про передачу видео через DNS
Надо же, только сейчас заметили DNS - он всегда был удобным инструментом для обхода защиты.зы но лучше его использовать по прямому назначению - для управления троянами :)))
> Администраторам локальных сетей рекомендуется посмотреть логЕщё следует учесть, что chrome при запуске делает несколько dns запросов на домены вида xqwvykjfei, aghepodlln, jdfhjnmlcx и т.п.
Это видите ли для того, чтобы "быстро определить, находится ли клиент в сети, которая перехватывает и перенаправляет запросы к несуществующим хостам"
https://mikewest.org/2012/02/chrome-connects-to-three-random...
Когда первый раз увидели у себя, долго думали, что за фигня.
Об этой фиче DNS известно уже как минимум 15 лет! Вот это я понимаю НОВЫЙ способ общения зловредов с серверами.
> Об этой фиче DNS известно уже как минимум 15 лет! Вот это
> я понимаю НОВЫЙ способ общения зловредов с серверами.через твиттер тож могут )
пс: там где под контроллем исходящие соединения и нужен в частности днс - обязательно запросы логируются и потом анализируются, ибо зачем ставить под файервол исходящие соединения, секурности ради? значить обязательно должен проводится анализ логов.
А ещё можно отправлять данные кредиток азбукой Морзе
>> Исследователи безопасности из компании Cisco обратили внимание на новый способэтому способу больше чем лет
>>> Исследователи безопасности из компании Cisco обратили внимание на новый способ
> этому способу больше чем летНа третий день Зоркий Глаз заметил -- он же исследователь, надо публиковаться!
>>>> Исследователи безопасности из компании Cisco обратили внимание на новый способ
>> этому способу больше чем лет
> На третий день Зоркий Глаз заметил -- он же исследователь, надо публиковаться!Мммм...
http://www.ixbt.com/news/2016/06/29/cisco-priobretaet-razrab...
Исследователи отрабатывают пиар нового хозяина.
Не знаю, лет 7 назад уже наблюдал канал DNS для рассылки спама, метод давно используется, поэтому админы-параноики закрывают все сторонние днс-серваки и отслеживают объемы трафика на свои днс сервера (например через zabbix)
Говорят, в старые добрые времена DNS в некоторых случаях использовался для халявного доступа в интернет:) А тут хакеры вспомнили, молодцы.
Отстал от темы
но может сайт dojfgj.com в днс на 127.0.0.1 посадить ?
как думаете спасет ситуацию ?
Нет, потому что домен в разных случаях будет разный, а это просто пример, можно было и example.com написать.
с периодичностью раз в 10 лет появляются подобные идеи только на моей памяти и на Опеннете:)
да не, идея на самом деле древняя. и используется не только крииналитетом но и службами для экфсильтрации данных.
Это что? Очевидные, давно используемые как передовые? Да ТЮ.
вы ещё snmp, грей днс тот же что и этот, или замену заголовков IP приплюсуйте. Ну баян же сколько лет.