威胁者在所谓的"SittingDucks"攻击中劫持了35000多个注册域名，这些攻击允许在无法访问域名所有者在DNS提供商或注册商的帐户的情况下申请域名。
在SittingDucks攻击中，网络犯罪分子利用注册商一级的配置缺陷和DNS提供商的所有权验证不足。
以DNS为重点的安全厂商Infoblox以及固件和硬件保护公司Eclypsium的研究人员发现，通过SittingDucks攻击，每天有超过一百万个域名可能被劫持。
多年来，多个俄罗斯网络犯罪团伙一直在使用这一攻击载体，并在垃圾邮件活动、诈骗、恶意软件交付、网络钓鱼和数据外渗中利用被劫持的域名。
尽管Snap公司的安全工程师马修-布莱恩特（MatthewBryant）在2016年首次记录了使SittingDucks成为可能的问题[1,2]，但与其他更知名的方法相比，该攻击向量仍然是一种更容易劫持域名的方法。
要实现攻击，需要满足以下条件：
-注册域名使用或委托注册商以外的供应商提供权威DNS服务
-记录的权威名称服务器因缺乏域名信息而无法解析查询（跛脚授权）
-DNS提供商需要允许在不适当验证所有权或要求访问所有者账户的情况下申请域名
这种攻击的变种包括部分无效授权（并非所有名称服务器都配置错误）和重新授权给另一家DNS提供商。但是，如果满足蹩脚授权和可利用的提供商条件，域名就会被劫持。
Infoblox解释说，攻击者可以在使用不同于注册商的提供商（如网络托管服务）提供的权威DNS服务的域名上使用SittingDucks方法。
如果目标域名的权威DNS或虚拟主机服务已过期，攻击者只需在DNS服务提供商处创建一个账户，就可以申请该域名。
威胁者现在可以在该域名下建立一个恶意网站，并配置DNS设置，将IP地址记录请求解析到假地址；而合法所有者将无法修改DNS记录。
Infoblox和Eclypsium报告称，自2018年和2019年以来，他们观察到多个威胁行为体利用"坐鸭"（或"现坐鸭"--DNS）攻击载体。
从那时起，至少有35000起域名劫持案件使用了这种方法。通常情况下，网络犯罪分子持有域名的时间很短，但也有长达一年的情况。
还发生过同一域名先后被多个威胁行为者劫持的情况，这些威胁行为者在其行动中使用该域名一到两个月，然后将其转移。
GoDaddy已被确认为SittingDucks攻击的受害者，但研究人员称，目前还有六家DNS提供商存在漏洞。
观察到的利用"坐地鸭"的活动集群概述如下：
域名所有者应定期检查其DNS配置是否存在防护不足的授权，尤其是较老的域名，并在注册商或权威名称服务器上更新授权记录，提供适当的、活跃的DNS服务。
建议注册商主动检查包含弱电点的授权，并提醒所有者。他们还应确保在传播名称服务器授权之前已建立DNS服务。
最终，监管机构和标准机构必须制定长期战略来解决DNS漏洞问题，并迫使其管辖范围内的DNS提供商采取更多措施来减少SittingDucks攻击。
相关文章
头条焦点
精彩导读
关注我们
【查看完整讨论话题】 | 【用户登录】 | 【用户注册】