Subdomain-Übernahme

Was ist Subdomain-Übernahme?

Wird eine Cloud-Ressource stillgelegt, ohne ihren DNS-Eintrag zu entfernen, bleibt eine firmeneigene Adresse zurück, deren Ziel jemand anderes beanspruchen kann. Die Person kann dann Inhalte unter der echten Subdomain des Unternehmens ausliefern, sodass die Domain-Prüfung, auf die Mitarbeitende geschult werden, bestanden wird. In dieser Übung finden Sie eine Marketing-Subdomain, deren Ziel mit „NoSuchBucket“ antwortet. Sie beanspruchen den S3-Bucket, veröffentlichen eine Anmeldeseite und verleiten eine Mitarbeiterin, deren Domain-Prüfung nichts Auffälliges ergibt, zur Eingabe ihrer Zugangsdaten. Anschließend löschen Sie den verwaisten DNS-Eintrag und nehmen das Entfernen von DNS-Einträgen in die Stilllegungs-Checkliste auf.

Was Sie lernen in Subdomain-Übernahme

• Ein DNS-Eintrag, der nach dem Löschen seiner Ressource bestehen bleibt, kann auf ein Ziel verweisen, das andere beanspruchen können.
• Dadurch können Angreifer Inhalte unter der echten Domain des Unternehmens ausliefern, ohne dass die üblichen Lookalike-Warnsignale auftreten.
• Die Ursache ist ein Stilllegungsprozess, der Cloud-Ressourcen entfernt, aber die zugehörigen DNS-Einträge bestehen lässt.
• Ergänzen Sie den Stilllegungsprozess und suchen Sie regelmäßig nach verwaisten DNS-Einträgen, die vor Einführung des Prozesses entstanden sind.

Subdomain-Übernahme — Trainingsschritte

1. Ein DNS-Name ohne Ziel

   Bob sucht keine Domains mit Tippfehlern. Er sucht firmeneigene Subdomains, die noch auf abgeschaltete Cloud-Ressourcen verweisen, weil ihre DNS-Einträge nicht entfernt wurden. Er prüft eine Subdomain, die Dunwrell für Marketingzwecke genutzt hat.

2. Das Ziel ist frei

   Der DNS-Name verweist auf einen S3-Bucket. Bob prüft, ob dieser Bucket noch existiert.

3. Den Namen beanspruchen

   Bob erstellt einen S3-Bucket mit genau dem Namen, auf den der verwaiste DNS-Eintrag verweist. Ab jetzt liefert Dunwrells eigene Subdomain die Inhalte aus, die Bob in diesem Bucket ablegt.

4. Die Falle hochladen

   Bob lädt eine Seite hoch, die genau wie die Teilnehmeranmeldung von Dunwrell aussieht. Er muss keine fremde Domain als Firmenadresse tarnen, denn die Seite wird unter Dunwrells echter Subdomain ausgeliefert.

5. Den Köder verschicken

   Die Seite ist unter der echten Subdomain erreichbar. Jetzt braucht Bob jemanden, der sich dort anmeldet. Er schickt Alice, einer Mitarbeiterin von Dunwrell, eine scheinbar routinemäßige E-Mail zur Kontobestätigung mit einem Link zu seiner Seite.

6. Eine Nachricht von der IT

   Alice erhält eine scheinbar routinemäßige E-Mail von der IT, in der sie ihr Konto bestätigen soll. Der Link führt zu einer Dunwrell-Adresse, also öffnet sie ihn.

7. Die Domain stimmt

   Auf der Seite wird Alice aufgefordert, sich anzumelden, um ihr Konto zu bestätigen. Sie tut, was ihr beigebracht wurde: Sie überprüft zuerst die Domain.

8. Zur Bestätigung anmelden

   Die Domain gehört Dunwrell, deshalb gibt Alice ihre Dunwrell-Zugangsdaten ein, um ihr Konto zu bestätigen. Die Daten landen direkt auf Bobs Server.

9. Bobs Server empfängt das Passwort

   An seinem eigenen Rechner sieht Bob die neuesten Einträge im Protokoll seines Servers an. Alices Anmeldung steht dort im Klartext.

10. Als Alice anmelden

    Bob öffnet die echte Dunwrell-App und meldet sich mit Alices gestohlenen Zugangsdaten an. Für das System sieht es aus, als melde sich Alice selbst mit ihrer E-Mail-Adresse und ihrem Passwort an.