Zeker miljoen domeinnamen kwetsbaar voor overname door cybercriminelen

Hiervoor waarschuwen onderzoekers van Infoblox en Eclypsium. De aanvalsmethoden wordt op de grote schaal misbruikt bij diverse DNS-providers. Meer dan twaalf criminele actoren met banden met Rusland zijn door de onderzoekers geïdentificeerd die de Sitting Ducks-aanvalsmethode gebruiken voor ongemerkt kapen van domeinnamen. Het onderzoek toont bovendien aan dat er op ieder willekeurig moment ruim 1 miljoen domeinnamen kwetsbaar zijn voor deze aanvalsmethode. De onderzoekers waarschuwen dat de aanvalsmethoden makkelijk uitvoerbaar is, vrijwel totaal onopgemerkt blijft, moeilijk detecterbaar is en daarnaast volledig te voorkomen.

Hoe gaat de aanval in zijn werk?

Bij een Sitting Ducks-aanval kaapt de aanvaller een geregistreerd domein bij een autoritatieve DNS-dienst of webhostingprovider, zonder daarbij toegang te verkrijgen tot het daadwerkelijke account van de echte eigenaar bij de DNS-provider of registrar. Zodra de aanvaller controle heeft over het domein, kan deze elke vorm van kwaadaardige activiteit uitvoeren onder de naam van de legitieme eigenaar. Dit omvat bijvoorbeeld het verspreiden van malware, phishingcampagnes, merkimitatie en data-exfiltratie.

Sitting Ducks is een nieuwe uitdaging, maar valt binnen een bredere categorie van DNS-gerelateerd onderzoek die laat zien hoe moeilijk het is om deze aanvalsvector te beveiligen. De Sitting Ducks-aanval combineert een slechte delegatie met een kwetsbare DNS-provider die niet goed controleert of de persoon die een domein claimt, dit ook daadwerkelijk beheert.

Niet nieuw

De Sitting Ducks-aanvalsmethode werd voor het eerst vermeld in 2016, maar in 2024 zien onderzoekers dat meerdere dreigingsactoren opnieuw misbruik maken van deze kwetsbaarheid. Onderzoekers van Infoblox en Eclypsium werken sinds de ontdekking in juni 2024 samen met handhavingsinstanties en nationale CERTs.

In tegenstelling tot veel andere vormen van cybercriminaliteit kunnen Sitting Ducks-aanvallen worden voorkomen. Deze aanvallen worden mogelijk gemaakt door tekortkomingen in het beheer, onderhoud en de autorisatie van domeinnamen en DNS-records.

Meer informatie is beschikbaar in het onderzoek, waar ook wordt ingegaan op de drie factoren die je blootstellen aan een Sitting Ducks-aanval en de methoden om deze factoren te evalueren en te beperken.