資安專家發現駭侵者利用「影子網域」發動攻擊的案例數量大增

2022 / 09 / 24

編輯部

全球網通產品大廠 Palo Alto Networks 旗下的資安威脅研究團隊「Unit 42」，近日發表調查報告指出，近來透過「影子網域」（domain shadowing）手法發動駭侵攻擊的案例數量，較過去大為提升。

報告指出，該團隊利用網路掃瞄的方式進行分析，在 2022 年 4 月到 6 月之間就發現了 12,197 個影子網域案例。

資安專家表示，影子網域是一種 DNS 挾持攻擊的類型；駭侵者以各種手法取得某個網域名稱的控制權後，在該網域下新增一個子網域，指向自己能夠控制的主機，來進行各種駭侵攻擊活動。

這種攻擊手法由於沒有更動主網域與其下屬其他子網域，因此不容易遭到發現；而用戶在接收到駭侵者冒用遭挾持為影子網域主機所發送的釣魚信件，或連上惡意網站時，由於仍會顯示合法真實的網域名稱，所以不但能夠通過防毒防駭程式的監控，用戶也會降低其戒心。

Unit 42 指出，影子網域的偵測極為困難，必須使用高度的自動化機器學習技術，才能快速精準分析大量的 DNS 記錄資料；在 VirusTotal 中也僅僅記錄了 200 個影子網域的案例，少於 Unit 42 找到的 12,197 個案例。

在 Unit 42 針對某個影子網域的駭侵攻擊案例分析中，可以看到該駭侵者挾持了 16 個分屬澳洲、俄羅斯和美國的私營企業、教育單位網域，並在其下設立了 649 個影子網域，來進行各種駭侵攻擊；其中有個澳洲企業所屬的網域，遭駭侵者私設影子網域的時間，長達 19 年。

由於這類透過影子攻擊的手法難偵測並防範，因此各單位的網域管理者，必需經常檢視自己擁有的網域是否出現異常；一般用戶在進入疑似釣魚頁面時，也應提高警覺，即使網域名稱無誤，也不要任意輸入自己的登入資訊。

本文轉載自TWCERT/CC。

影子網域 domain shadowing DNS 挾持攻擊釣魚頁面