spoofing domeny trzeciego rzędu

Spoofing domeny trzeciego rzędu to wykorzystanie subdomeny łudząco podobnej do legalnej domeny firmy.

Na czym polega spoofing domeny trzeciego rzędu

Spoofing domeny trzeciego rzędu polega na utworzeniu albo wykorzystaniu nazwy umieszczonej przed domeną drugiego poziomu w taki sposób, aby przypominała legalny adres internetowy firmy, banku lub innej organizacji. W adresie logowanie.przyklad.pl człon „logowanie” jest subdomeną, „przyklad” domeną drugiego poziomu, a „pl” domeną najwyższego poziomu. Oszust może przygotować adres zawierający wiarygodnie brzmiącą subdomenę, na przykład panel.przyklad.pl, jeśli uzyska możliwość utworzenia rekordu DNS w domenie nadrzędnej, albo wykorzystać podobnie wyglądającą domenę zarejestrowaną niezależnie, na przykład z literówką w nazwie firmy.

Sama obecność subdomeny nie świadczy o oszustwie. Subdomeny są prawidłowym elementem DNS i służą między innymi do rozdzielania serwisów, aplikacji oraz środowisk testowych. Problem powstaje wtedy, gdy adres, wygląd strony i komunikat kierowany do użytkownika mają wywołać błędne przekonanie, że witryna należy do znanej organizacji. Atak może prowadzić do wyłudzenia hasła, kodu jednorazowego, danych karty płatniczej albo nakłonienia użytkownika do pobrania złośliwego pliku.

Rola DNS, nazwy hosta i certyfikatu TLS

Przeglądarka rozkłada adres URL na kilka części i na tej podstawie ustala, z jakim hostem ma nawiązać połączenie. W adresie konto.firma.pl nazwa hosta obejmuje całość, ale domeną nadrzędną kontrolowaną przez właściciela może być tylko firma.pl. Osoba posiadająca uprawnienia do zarządzania strefą DNS domeny może utworzyć subdomenę i skierować ją rekordem A lub AAAA bezpośrednio na wskazany adres IPv4 albo IPv6. Może też użyć rekordu CNAME, który kieruje nazwę do innej nazwy DNS. Dlatego wiarygodnie brzmiąca subdomena może technicznie prowadzić do infrastruktury należącej do atakującego.

Połączenie HTTPS szyfruje transmisję, ale nie potwierdza automatycznie, że strona jest uczciwa. Certyfikat TLS potwierdza kontrolę nad nazwą objętą certyfikatem zgodnie z zasadami walidacji urzędu certyfikacji. Jeśli oszust kontroluje domenę z literówką albo legalną, lecz nadużytą subdomenę, może uzyskać certyfikat dla tego konkretnego hosta. Kłódka w przeglądarce oznacza więc przede wszystkim poprawne zabezpieczenie połączenia z określoną nazwą, a nie potwierdzenie tożsamości firmy w rozumieniu użytkownika. Przy analizie należy sprawdzić pełną nazwę hosta, domenę nadrzędną, wystawcę certyfikatu i zgodność adresu z oficjalnymi kanałami organizacji.

Typowe scenariusze i sygnały ostrzegawcze

Spoofing domeny trzeciego rzędu często występuje w kampaniach phishingowych. Wiadomość może informować o konieczności potwierdzenia płatności, odblokowania konta, podpisania dokumentu albo odebrania przesyłki. Link prowadzi do strony, której subdomena zawiera słowa takie jak „bezpieczenstwo”, „weryfikacja”, „konto” lub „platnosc”, natomiast właściwa domena znajduje się dalej w adresie i może należeć do zupełnie innego podmiotu. Czasem atakujący wykorzystuje również długie adresy, kodowanie znaków, przekierowania oraz nazwy podobne wizualnie do oryginału. Zmiana jednej litery, użycie łącznika lub innej domeny najwyższego poziomu może być trudna do zauważenia na ekranie telefonu.

Przed zalogowaniem warto odczytać pełny adres po rozwinięciu paska przeglądarki i ustalić, jaka nazwa występuje bezpośrednio przed końcówką domeny. Należy uważać na linki skrócone, nieoczekiwane przekierowania i formularze proszące o podanie danych uwierzytelniających po kliknięciu wiadomości. Informacje o domenie można dodatkowo porównać z adresem wpisanym ręcznie lub zapisanym wcześniej jako zakładka. W środowisku firmowym przydatne są mechanizmy SPF, DKIM i DMARC, ale dotyczą one przede wszystkim uwierzytelniania poczty elektronicznej; nie zastępują sprawdzania adresu strony WWW. Ostrzeżenie przeglądarki o certyfikacie, błędnej nazwie hosta lub podejrzanym przekierowaniu powinno być traktowane jako powód do przerwania operacji.

Postępowanie po wejściu na podejrzaną stronę

Jeżeli użytkownik tylko otworzył stronę i nie wprowadził danych, powinien zamknąć kartę, nie pobierać plików i nie zezwalać witrynie na powiadomienia, dostęp do schowka ani inne uprawnienia. Gdy podano hasło, trzeba niezwłocznie zmienić je na prawdziwej stronie usługi, wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, o ile jest dostępne. Jeśli używane hasło występowało także w innych serwisach, należy zmienić je również tam. W przypadku podania danych płatniczych konieczny jest kontakt z bankiem i obserwowanie operacji na rachunku. Pobrany plik powinien zostać odłączony od użytkowania i sprawdzony narzędziem bezpieczeństwa, a jego uruchomienie może wymagać dalszej analizy systemu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku podejrzenia infekcji po uruchomieniu załącznika można zlecić diagnostykę systemu, sprawdzenie autostartu, przeglądarki oraz nietypowych połączeń sieciowych. Sama naprawa komputera nie zastępuje zmiany ujawnionych haseł ani zgłoszenia incydentu administratorowi usługi. Przydatne dowody obejmują pełny adres URL, treść wiadomości, godzinę zdarzenia, nazwę pobranego pliku i zrzuty ekranu; nie należy jednak ponownie otwierać strony wyłącznie w celu ich zdobycia.