So hat Secshow das DNS ins Visier genommen Die Gefahr durch offene DNS-Resolver

Anbieter zum Thema

Infoblox Germany GmbH

sysob IT-Distribution GmbH & Co. KG

Seit spätestens Juni 2023 nimmt ein DNS-Probing offene Resolver ins Visier. Infoblox Threat Intel analysierte Queries an Infoblox und andere rekursive DNS-Resolver. Dabei stach diese Aktion durch ihre Größe und die invasive Struktur heraus.

Wenn es um Cybersicherheit geht, wird das Domain Name System (DNS) oft übersehen. Der Bedrohungsakteur Secshow zeigt nun, dass Unternehmen diesen Aspekt bei ihrer Sicherheit aber keineswegs vernachlässigen sollten – sonst haben Kriminelle leichtes Spiel. Denn das DNS ist für die gesamte Kommunikation im Internet von zentraler Bedeutung.

Umso größer ist die Gefahr, die von offenen Resolvern ausgeht. Ein offener Resolver ist ein Device, das – in der Regel durch eine Fehlkonfiguration – jede DNS-Abfrage, die es im Internet erhält, entweder auflöst oder weiterleitet. So stellen sie eine Schwachstelle in Netzwerken dar und werden häufig für DNS-DDoS-Angriffe (Distributed Denial of Service) verwendet, da sie Angreifern dafür die ideale Angriffsfläche bieten.

Secshow: Auf der Jagd nach offenen Resolvern

Der chinesische Bedrohungsakteur Secshow handelt aus dem China Education and Research Network (CERNET) heraus und führt seit spätestens Juni 2023 weltweite DNS-Sondierungen durch, um genau diese offenen Resolver zu finden. Das Vorgehen von Secshow lässt sich folgendermaßen beschreiben:

Im ersten Schritt sendet Secshow DNS-Abfragen an IP-Adressen, inklusive IPv4 und IPv6, auf der ganzen Welt. Der genaue Ursprung dieser Abfragen ist zwar noch unbekannt, allerdings beinhalten sie Informationen über die angefragte IP-Adresse und ein Datum oder einen Zeitstempel.

Sobald ein Gerät solch eine Abfrage erhält, gibt es unterschiedliche Optionen:

• Wenn das Gerät ein offener Resolver ist, wird es die Abfrage auflösen und eine Antwort zurückschicken

• Ist das Gerät kein offener Resolver oder ein anderer Akteur (z.B. eine Firewall) schaltet sich dazwischen, wird eine ICMP-Nachricht erstellt und an die ursprüngliche IP-Adresse zurückgesendet

• Ist das Gerät kein offener Resolver, kann die Antwort an einen anderen Resolver weitergeleitet werden

Nach unseren Erfahrungen kann ein DNS-Scan oder eine DNS-Sondierung zahlreiche Konsequenzen haben, die allerdings den Rahmen dieser Auflistung sprengen würden. Das gilt besonders in Netzwerken mit Geräten, die mit dem Internet verbunden sind und nicht dazu gedacht sind, DNS-Abfragen zu beantworten – wie es bspw. bei Routern in Privathaushalten oder IoT-Geräten der Fall ist.

Obwohl das endgültige Ziel von Secshow noch unbekannt ist, können die gesammelten Informationen für bösartige Aktivitäten genutzt werden, von denen einzig der Angreifer profitiert.

Unbeabsichtigte Hilfestellung

Als wäre die Gefahr durch offene Resolver und Bedrohungsakteure nicht schon groß genug, wurden die Aktivitäten von Secshow auch noch von unerwarteter Seite verstärkt: Das Sicherheitsprodukt Cortex Xpanse von Palo Alto vervielfachte die DNS-Abfragen von Secshow und verstärkte somit die Gefahr und verwirrte Verteidiger.

Dieser Zusammenhang fiel zum ersten Mal auf, als wir einen anderen Bedrohungsakteur namens Decoy Dog untersuchten. Die Vervielfältigung der Abfragen von Secshow ist auf eine Kombination aus zufällig zurückgeschickten IP-Adressen durch Name-Server und das Verhalten von Cortex Xpanse zurückzuführen. Aufgrund eines ursprünglichen Hinweises von Veloxity im letzten Jahr konnten wir feststellen, wie die Vervielfältigung funktioniert:

• Secshow sendet eine DNS-Abfrage an einen offenen Resolver und der Secshow Name Server sendet eine Antwort mit einer zufälligen IP-Adresse zurück

• Diese DNS-Responses sind dann an verschiedenen Stellen im Internet sichtbar und werden durch Cortex Xpanse gesammelt

• Cortex Xpanse behandelt die Domains in den DNS-Abfragen als URL und versucht, die Inhalte von der zufälligen IP-Adresse von dieser Domain abzurufen

• Firewalls und andere Sicherheitsmaßnahmen filtern die URL, wenn sie die Anfrage von Cortex Xpanse erhalten, woraufhin eine neue DNS-Abfrage für diese Domain ausgelöst wird

• Der Secshow Name Server sendet nun eine weitere zufällige IP-Adresse zurück und das Spiel beginnt von vorne

• Auf diese Weise kann das Verhalten von Cortex Xpanse aus einer Secshow-Abfrage einen endlosen Kreislauf von Abfragen in Netzwerken auf der ganzen Welt auslösen

• Hinzu kommt, dass Cortex Xpanse versucht, den URL-Scan über einen Zeitraum mehrmals auszuführen und so die ursprüngliche DNS-Anfrage vervielfältigt

Vier Schritte für den Fall verdächtiger DNS-Abfragen

Die Aktivitäten von Secshow zeigen einmal mehr, dass das DNS ein neuralgischer Punkt für die eigene Cybersecurity ist. Viele Angreifer nutzen das DNS für ihre Zwecke auf die eine oder andere Weise. Offene Resolver im eigenen Netzwerk zu identifizieren und diese zu schließen, kann dabei helfen, die Angriffsfläche zu reduzieren.

Verdächtige Aktivitäten, die auf Secshow zurückzuführen sind, können zwei Ursachen haben. Entweder befinden sich offene DNS-Resolver im eigenen Netzwerk oder Cortex Xpanse hat das eigene Netzwerk aufgrund der von Secshow zufällig gesendeten IP-Adressen gescannt.

Um zu überprüfen, ob die verdächtigen Abfragen das Resultat eines offene Resolvers sind, sollten Unternehmen folgende Schritte einleiten:

• 1. Identifizieren Sie die IP-Adresse in der Abfrage. Diese ist entweder als 8-stellige hexadezimale Zeichenfolge oder als durch Bindestriche getrennte Darstellung eingebettet

• 2. Decodieren oder extrahieren Sie die IP-Adresse und gleichen Sie diese mit dem eigenen IP-Raum ab

• 3. Liegt die IP-Adresse innerhalb des eigenen IP-Raums und ist nach außen gerichtet, handelt es sich bei dieser IP-Adresse um einen offenen Resolver, der geschlossen werden sollte

• 4. Falls die IP-Adresse innerhalb des eigenen IP-Raums liegt, aber nach innen gerichtet ist oder keinen Bezug zum eigenen Netzwerk hat, sind die Abfragen wahrscheinlich auf Scans durch Cortex Xpanse zurückzuführen

DNS-Security: Mehr als ein Nice-to-Have

Die Bedrohung durch offene Resolver zeigt, wie wichtig das DNS für die eigene Sicherheit ist. Auch wenn die Aktivitäten von Secshow in letzter Zeit abgenommen haben, zeigen diese, welche Macht ein Bedrohungsakteur mit Zugang zum Internet-Backbone besitzt. Secshow führte DNS-Spoofing im großen Stil durch, um IP-Räume weltweit und über mehrere Monate hinweg zu sondieren. Ziel der Sondierungen war es, Informationen über die Konfiguration offener Resolver und von Netzwerken zu sammeln, die daraufhin für bösartige Aktivitäten genutzt werden können. Das schloss auch mehrere Abfragetypen ein, die offenbar detaillierte Informationen über das Antwort-Caching der Resolver sammeln sollten.

Secshow ist nur einer von mehreren chinesischen Bedorhungsakteuren, die in diesem und dem letzten Jahr großangelegte DNS-Sondierungen durchführten. Trotzdem wird DNS-Security immer noch zu häufig als ein Add-On betrachtet, um welches man sich kümmern kann, wenn alle anderen Sicherheitsmaßnahmen implementiert sind. Wer diesem Trugschluss unterliegt, läuft Gefahr, sensible Informationen an Cyberkriminelle zu verlieren und ihnen damit Tür und Tor für weitere Angriffe zu öffnen.

Über die Autorin

Dr. Renée Burton ist Head of Threat Intel bei Infoblox.

(ID:50132971)