spoofing domeny pomocniczej

Spoofing domeny pomocniczej wykorzystuje adres podobny do subdomeny organizacji, nieobjętej ochroną głównej domeny.

Na czym polega spoofing domeny pomocniczej

Spoofing domeny pomocniczej to technika polegająca na utworzeniu adresu internetowego, który przypomina subdomenę należącą do organizacji, ale w rzeczywistości znajduje się pod inną domeną nadrzędną albo pod domeną zarejestrowaną przez atakującego. Przykładowo adres logowanie.firma.pl może zostać pozornie odwzorowany przez domenę logowanie-firma.pl, firma-logowanie.com albo logowanie.firma.example.com. O podobieństwie decyduje wygląd całego adresu, a nie samo występowanie nazwy organizacji w tekście.

Określenie „domena pomocnicza” odnosi się tu do subdomen, domen kampanijnych, domen używanych przez dostawców zewnętrznych oraz innych adresów wspierających główny serwis. Główna domena może mieć wdrożone mechanizmy ochronne, takie jak ścisła polityka DNS, monitoring certyfikatów czy ograniczenia rejestracji subdomen, podczas gdy podobny adres utworzony poza tą domeną pozostaje poza zakresem tych zabezpieczeń. Osoba odwiedzająca stronę może jednak uznać go za oficjalny, jeżeli nazwa, grafika i układ strony odpowiadają prawdziwemu serwisowi.

Adres, DNS i certyfikat nie potwierdzają same w sobie tożsamości

W adresie URL najważniejsza dla rozpoznania właściciela jest domena zarejestrowana, odczytywana od prawej strony. W adresie panel.firma.pl domeną nadrzędną jest firma.pl, a panel jest subdomeną. W adresie panel.firma.pl.example.com właścicielem przestrzeni nazw jest natomiast example.com, nawet jeśli ciąg firma.pl występuje wcześniej. To częsta metoda tworzenia adresów, które wizualnie przypominają prawidłową subdomenę.

Rekordy DNS, takie jak A, AAAA, CNAME i MX, wskazują sposób obsługi nazwy, lecz nie oznaczają automatycznie, że serwis jest autoryzowany przez właściciela marki. Podobnie certyfikat TLS potwierdza, że połączenie jest szyfrowane dla określonej nazwy objętej certyfikatem. Kłódka w przeglądarce nie jest dowodem, że właściciel strony jest tym samym podmiotem, który prowadzi prawdziwą domenę. Przy ocenie adresu trzeba sprawdzić pełną nazwę hosta, domenę nadrzędną, pisownię oraz miejsce, do którego prowadzi przekierowanie.

Najczęstsze warianty podszywania się pod subdomenę

Atakujący wykorzystują różnice w pisowni, łączniki, dodatkowe człony oraz znaki Unicode. Domeny międzynarodowe mogą zawierać znaki spoza podstawowego alfabetu łacińskiego, a w reprezentacji technicznej są zapisywane jako ciągi zaczynające się od xn--. Znak wyglądający podobnie do litery „a”, „o” albo „e” może należeć do innego alfabetu, dlatego sam wygląd adresu w wiadomości lub na stronie nie zawsze wystarcza do jego oceny.

Inny wariant polega na wykorzystaniu legalnej, lecz błędnie skonfigurowanej infrastruktury. Nieaktualny rekord CNAME wskazujący na usuniętą usługę, nieużywana subdomena albo wygasła integracja z zewnętrznym dostawcą może utworzyć tak zwany osierocony punkt DNS. Jeżeli zewnętrzna usługa pozwala ponownie zająć odpowiadającą jej nazwę, adres należący formalnie do organizacji może zacząć wyświetlać treść kontrolowaną przez inną osobę. Ten przypadek różni się od zwykłej rejestracji podobnej domeny, ponieważ problem dotyczy konfiguracji istniejącej domeny lub subdomeny.

Podszywanie może być używane w wiadomościach phishingowych, fałszywych formularzach logowania, reklamach, załącznikach HTML oraz przekierowaniach. Skuteczność zależy przede wszystkim od podobieństwa adresu i wiarygodności kontekstu. Sama obecność protokołu HTTPS nie usuwa ryzyka, ponieważ atakujący również może uzyskać ważny certyfikat dla kontrolowanej przez siebie domeny.

Rozpoznanie adresu i diagnostyka na komputerze

Podstawowa weryfikacja powinna rozpocząć się od wyświetlenia pełnego adresu w pasku przeglądarki, bez polegania na skróconym podglądzie linku. Należy ustalić domenę nadrzędną, sprawdzić nietypowe znaki, dodatkowe poziomy domeny oraz ewentualne przekierowania. Pomocne bywa otwarcie właściwej domeny przez ręczne wpisanie znanego adresu zamiast używania odnośnika z wiadomości. W przypadku podejrzenia podszywania nie należy wpisywać haseł ani kodów jednorazowych do badanego formularza.

Diagnostyka techniczna może obejmować porównanie odpowiedzi DNS, certyfikatu TLS, nagłówków HTTP i historii przekierowań z prawidłowym serwisem. W systemie Windows do podstawowego sprawdzenia rozwiązywania nazwy służy między innymi polecenie nslookup, a w systemach uniksowych często używa się dig. Wynik takiego testu nie rozstrzyga samodzielnie o autentyczności strony, ale może ujawnić inną infrastrukturę, nieoczekiwany rekord CNAME albo adres IP niezwiązany z właściwą usługą. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w razie podejrzenia, że fałszywa strona zmieniła ustawienia przeglądarki lub systemu, można zlecić diagnostykę takiego komputera.

Jeżeli dane logowania zostały już podane, należy niezwłocznie zmienić hasło na prawdziwej stronie, wylogować aktywne sesje i sprawdzić ustawienia konta. Warto również przejrzeć rozszerzenia przeglądarki, ustawienia serwera proxy, wpisy DNS oraz programy uruchamiane wraz z systemem, zwłaszcza gdy po odwiedzeniu podejrzanego adresu pojawiły się przekierowania, reklamy lub komunikaty o nieznanym pochodzeniu.