Захоплення піддомену

Що таке Захоплення піддомену?

Якщо вивести хмарний ресурс з експлуатації, не видаливши запис DNS, що на нього вказує, ім'я, яким ви володієте, лишається спрямованим на ціль, яку може зайняти будь-хто. Той, хто її займе, віддає вміст зі справжнього піддомену, тож перевірка домену, до якої привчають людей, нічого не виявляє. Ви знайдете маркетинговий піддомен, ціль якого повертає помилку про відсутність бакета, займете цю ціль, розмістите сторінку входу й проведете фішингову атаку на працівника, чия перевірка домену не знаходить нічого підозрілого. Потім ви видалите висячий запис і внесете видалення записів DNS до контрольного списку виведення з експлуатації.

Що ви дізнаєтесь у Захоплення піддомену

• Усвідомлюйте, що запис, який пережив свій ресурс, вказує на ціль, яку може зайняти будь-хто.
• Розпізнавайте результат: вміст зловмисника на справжньому домені організації, де немає жодної зі звичних ознак схожого домену.
• Шукайте причину в процесі виведення з експлуатації, який зупиняє ресурси, але не видаляє записи DNS.
• Виправляйте процес для нових ресурсів і скануйте висячі записи, щоб знайти ті, що накопичилися раніше й залишилися поза процесом.

Захоплення піддомену — Кроки навчання

1. Ім'я, що пережило свою ціль

   Боб не шукає одруківок. Він шукає власні піддомени компанії, які досі вказують на хмарні ресурси. Самі ресурси вимкнули, але від DNS так і не від'єднали. Він перевіряє один із маркетингових піддоменів Dunwrell.

2. Ціль нічия

   Ім'я вказує на бакет S3. Боб запитує в S3, чи цей бакет ще існує.

3. Займіть назву

   Боб створює бакет із тією самою назвою, на яку вказує висячий запис. Відтепер власний піддомен Dunwrell віддає все, що Боб у цей бакет помістить.

4. Завантажте пастку

   Боб завантажує сторінку, зроблену так, щоб виглядати точнісінько як вхід для учасників Dunwrell. Переконливо підробляти бренд йому не доведеться, адже сторінку віддаватимуть зі справжньої адреси бренду.

5. Надішліть приманку

   Сторінка вже працює на справжньому піддомені. Тепер Бобові потрібна людина, яка на неї ввійде. Він надсилає працівниці Dunwrell Алісі лист, схожий на звичайне повідомлення про підтвердження облікового запису, з посиланням на його сторінку.

6. Повідомлення від ІТ-відділу

   Аліса отримує від ІТ-відділу повідомлення про підтвердження облікового запису. Воно виглядає звичайним, а посилання веде на адресу Dunwrell, тож вона його відкриває.

7. З доменом усе гаразд

   Сторінка просить Алісу ввійти, щоб підтвердити обліковий запис. Вона робить те, чого її навчили: спершу перевіряє домен.

8. Увійдіть, щоб підтвердити

   Домен належить Dunwrell, тож Аліса вводить свої облікові дані Dunwrell, щоб підтвердити обліковий запис. Вони потрапляють просто на колектор Боба.

9. Її пароль потрапляє на колектор

   Боб знову за власною машиною й переглядає останні рядки журналу колектора. Вхід Аліси там, відкритим текстом.

10. Увійдіть як Аліса

    Боб відкриває справжній застосунок Dunwrell і входить із вкраденими обліковими даними Аліси. Для Dunwrell це просто вхід Аліси: її справжня електронна адреса й пароль, із браузера.