Vulnerabilidad de DNS permite el ‘espionaje a nivel de estado-nación’ de las empresas

Los investigadores de seguridad encontraron una nueva clase de vulnerabilidades de DNS que afectan a los principales proveedores de DNS como servicio (DNSaaS) y que podrían permitir a los atacantes acceder a información confidencial de las redes corporativas.

Los proveedores de DNSaaS (también conocidos como proveedores de DNS administrados) brindan servicios de alquiler de DNS a otras organizaciones que no desean administrar y asegurar otro activo de red por su cuenta.

Como se reveló  en la conferencia de seguridad Black Hat  por los investigadores de la firma de seguridad en la nube Wiz, Shir Tamari y Ami Luttwak, estas fallas de DNS brindan a los actores de amenazas capacidades de recolección de inteligencia de estado-nación con un simple registro de dominio.

Desde el registro de nombres de dominio hasta el tráfico de escuchas telefónicas indiscriminadamente

El proceso de explotación es bastante simple, como explicaron: registraron un dominio y lo usaron para secuestrar el servidor de nombres de un proveedor de DNSaaS (en su caso, Amazon Route 53), lo que les permitió realizar escuchas telefónicas en el tráfico de DNS dinámico que se transmite desde las redes de los clientes de Route 53.

«Encontramos una laguna simple que nos permitió interceptar una parte del tráfico DNS dinámico mundial que pasa por proveedores de DNS administrados como Amazon y Google», dijeron los investigadores de Wiz.

«El tráfico de DNS dinámico que ‘interceptamos’ provino de más de 15.000 organizaciones, incluidas empresas Fortune 500, 45 agencias gubernamentales de EE. UU. Y 85 agencias gubernamentales internacionales».

Los datos que recopilaron de esta manera variaron desde nombres y ubicaciones de empleados / computadoras hasta detalles altamente confidenciales sobre la infraestructura de las organizaciones, incluidos los dispositivos de red expuestos a Internet.

En un caso, los investigadores mapearon las ubicaciones de las oficinas de una de las empresas de servicios más grandes del mundo utilizando el tráfico de red recibido de 40.000 terminales corporativos.

La información recopilada de esta manera facilitaría mucho el trabajo de los actores de amenazas de violar la red de una organización, ya que les dará «una vista panorámica de lo que está sucediendo dentro de las empresas y los gobiernos» y les proporcionará «capacidad de espionaje a nivel de estado-nación».

Los investigadores no han encontrado evidencia de que la vulnerabilidad de DNS que descubrieron fuera explotada previamente en la naturaleza, pero, como explican, cualquier persona con conocimiento de los problemas y las habilidades para abusar de ella «podría haber recopilado datos sin ser detectados durante más de una década. »

«El impacto es enorme. De los seis principales proveedores de DNSaaS que examinamos, tres eran vulnerables al registro del servidor de nombres», agregaron en Black Hat .

«Cualquier proveedor de nube, registrador de dominios y host de sitios web que proporcione DNSaaS podría ser vulnerable».

Fijado por algunos, probablemente plagando a otros

Lo que empeora las cosas, si bien dos de los principales proveedores de DNS (Google y Amazon) ya han solucionado estas fallas de DNS, es probable que otros sigan siendo vulnerables, exponiendo millones de dispositivos a ataques.

Además, no está exactamente claro quién debería corregir este error crítico de DNS. Microsoft, que podría modificar el algoritmo de DNS dinámico que permite que los puntos finales de Windows filtren el tráfico de la red interna a servidores DNS maliciosos, ya le dijo a Wiz que esto no es una vulnerabilidad.

Como explicó Microsoft, esta falla es «una mala configuración conocida que ocurre cuando una organización trabaja con solucionadores de DNS externos».

Redmond aconseja el uso de zonas y nombres DNS separados para hosts internos y externos para evitar conflictos de DNS y problemas de red, y proporciona documentación detallada sobre  cómo configurar correctamente las actualizaciones dinámicas de DNS en Windows .

Los proveedores de DNS administrados pueden solucionar el problema de secuestro del servidor de nombres siguiendo correctamente la especificación de «nombres reservados» de RFC, así como verificando la propiedad y validando los dominios antes de permitir que sus clientes los registren.

Las empresas que alquilan servidores DNS también pueden realizar cambios para evitar que el tráfico de su red interna se filtre a través de actualizaciones dinámicas de DNS modificando el registro de inicio de autoridad (SOA) predeterminado .

Fuente: www.bleepingcomputer.com