Две операции применяли теневые поддомены для размещения азартного контента
Две несвязанные операции использовали теневые домены для размещения контента нелегальных азартных игр под доменами школ и государственных органов. По всей видимости, несанкционированный доступ к управлению DNS позволил создать поддомены, не затрагивая основные сайты организаций. Возможные способы получения доступа включают кражу учётных данных, доступ изнутри организации или компрометацию регистратора либо провайдера DNS.
Операции с теневыми доменами
Операция Hidden Hawk добавляла отдельные записи CNAME под доменами государственных учреждений в Бангладеш, Индии и Мексике. Исследователи зафиксировали более 850 точек входа на восьми доменах и более чем 30 игорных брендах. Многие записи CNAME указывали на имена хостов Cloudflare Pages, в которых повторялись названия поддоменов организаций. Это связывало записи государственных учреждений с размещёнными страницами азартных игр.
Страницы использовали общие компоненты, в том числе инфраструктуру для сокращения ссылок и размещения изображений. По всей видимости, эта активность поддерживала поисковую оптимизацию и привлечение трафика для нескольких игорных брендов.
Другая операция, которую не приписали конкретной группе, затронула поддомены в доменах maharashtra.gov.in и online.esic.gov.in. Подзоны, включая gam, games, search, live и dpboss, делегировали внешним именным серверам ClouDNS. Запись wildcard под gam.maharashtra.gov.in позволяла разрешать произвольные имена хостов в этой подзоне. Такое делегирование давало оператору возможность управлять записями через внешние авторитетные DNS-серверы, а не вносить многочисленные изменения в DNS-зону государственного органа.
Мониторинг DNS и устранение последствий
Организации, которые следят только за основными веб-сайтами, могли не обнаружить активность на новых поддоменах. Авторы отчёта рекомендуют операторам DNS проверять изменения в авторитетных зонах, в частности появление неожиданных поддоменов, записей CNAME, делегирования NS и записей wildcard, а также защищать все учётные записи с доступом к управлению DNS.
При устранении последствий авторы рекомендуют сосредоточиться на несанкционированных записях и инфраструктуре, а не блокировать легитимные домены организации.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
