С августа по октябрь 2020 года злоумышленники развернули в Бразилии обновлённую инфраструктуру GhostDNS. Это сеть подменных DNS-серверов. DNS - служебная система, которая по введённому человеком адресу сайта находит его реальный сетевой адрес. Преступники перехватывают эту функцию и показывают пользователю поддельные страницы. Основная цель - владельцы домашних роутеров и клиенты бразильских интернет-провайдеров. Речь идёт не о единичных случаях, а о постоянно действующей схеме.
Описание
Механика атаки проста по замыслу, но требует доступа к оборудованию жертвы. Сначала злоумышленник получает контроль над домашним роутером. Помогают заводские пароли, отсутствие обновлений прошивки и известные уязвимости. Затем преступник подменяет в настройках устройства адреса DNS-серверов. С этого момента человек, набирая адрес банка, попадает не на настоящий сайт. Он видит аккуратную копию страницы входа. Логин и пароль уходят злоумышленникам. Домашние роутеры удобны для массовых атак. Устройства работают годами и редко получают обновления. Провайдеры часто выдают абонентам одинаковые модели с заводскими настройками. Поэтому одна уязвимость позволяет получить доступ к тысячам устройств.
Наблюдения позволили выделить пять обособленных групп серверов. Внутренние обозначения - CDD, EDA, TOS, DDS и ODA. Четыре группы устроены однотипно. Каждая включает один подменный DNS-сервер и один сервер с фишинговыми страницами. Группа DDS работала с 10 по 23 сентября и прекратила активность. Остальные действуют до сих пор. Ответы серверов обновляются раз в три часа. Поэтому жертва остаётся на подменённом адресе долго, даже если перезагрузит страницу. Публикация продолжает серию материалов, начатую в сентябре 2020 года. В предыдущем выпуске описаны адреса для компрометации роутеров и домены с фишинговыми страницами.
Самая заметная группа - CDD. По данным Augury, она выделяется и масштабом, и осторожностью. В её составе шесть подменных DNS-серверов и два фишинговых сервера. Одновременно серверы меняются каждый понедельник. Отследить группу помогает самоподписанный сертификат, который злоумышленники копируют на новые узлы. В конце сентября они выпустили новый сертификат: прежний истекал в октябре. В полях документа преступники оставили заведомо вымышленные данные. Такая небрежность не мешает атаке, но облегчает наблюдение за ней.
Остальные группы ведут себя скромнее. Они обслуживают только заранее отобранные имена внутри захваченных доменов. Подстановочные ответы при этом не используются. Часть обращений заканчивается сообщением о том, что такого имени не существует. Пользователь видит обычную ошибку, а не подделку. Такой подход снижает риск случайного обнаружения: подмена срабатывает лишь для нужных злоумышленникам адресов.
Шифрование тоже различается. Группа CDD поддерживает защищённое соединение, но с самоподписанным сертификатом. Браузер в таком случае предупреждает об ошибке. Остальные фишинговые серверы работают без шифрования вовсе. Если открыть адрес по защищённому протоколу, сервер не отвечает или выдаёт ошибку сертификата. Это заметный признак подмены, по которому можно распознать атаку.
Для человека подмена почти незаметна. Адресная строка показывает привычное имя банка. Страница открывается быстро, оформление совпадает с оригиналом. Единственный явный признак - отсутствие значка защищённого соединения. Немногие пользователи обращают на него внимание. К тому же человек редко сверяет адресную строку с настоящим доменом банка.
Список целей широк. В него входят крупные бразильские банки, розничные сети и интернет-провайдеры. У каждой группы собственный перечень захваченных доменов. Совпадения между группами минимальны. Список пополняется от отчёта к отчёту. Часть доменов фигурировала и в предыдущей публикации. Тогда речь шла о тех же методах: компрометация роутеров, подмена DNS, перенаправление на фишинг.
Бразилия относится к странам с очень высокой долей домашних подключений. Онлайн-банкинг здесь используют массово, а внимание к настройкам оборудования остаётся низким. Поэтому атаки на роутеры дают преступникам широкий охват при небольших затратах. Одна настроенная группа серверов обслуживает тысячи жертв одновременно. Кроме того, домены-цели относятся к известным и часто посещаемым ресурсам.
Последствия для жертвы серьёзные. Утерянные учётные данные открывают доступ к счетам и личным кабинетам. Банк при этом не фиксирует взлома. Вход происходит с обычного адреса, просто через поддельную страницу. Пострадавшие узнают о проблеме после списания средств. Клиенты несут прямые финансовые потери. Кредитные организации получают репутационные издержки и расходы на разбирательства. Для бизнеса риски выше. Если сотрудники работают из дома через заражённый роутер, под угрозой оказываются корпоративные сети и внутренние сервисы.
Часть выводов подтвердили независимые наблюдения. Отслеживанием GhostDNS несколько лет занимается исследователь Манабу из Токио. Его наработки помогли проверить данные отчёта. Дальнейшая работа ведётся совместно с бразильской группой реагирования на компьютерные инциденты CERT.br. Общая задача - установить, кто именно управляет описанной инфраструктурой.
Меры защиты остаются базовыми. Владельцам роутеров следует заменить заводской пароль администратора, установить обновления прошивки и проверить настройки DNS. Производители выпускают исправления редко, поэтому проверять их стоит вручную. Провайдерам полезно отслеживать подозрительные обращения к серверам имён. Банкам помогает мониторинг доменов-двойников и жалобы клиентов на странные страницы входа. Инфраструктура GhostDNS действует несколько лет, и её отдельные узлы исчезают лишь на время.
Индикаторы компрометации
