Los ciberataques no paran de evolucionar, y uno de los más preocupantes últimamente es el conocido como "Sitting Ducks" aplicado a los DNS. Este método ha permitido a los hackers secuestrar más de 35.000 dominios. Esta metodología permite a los atacantes reclamar un dominio sin necesidad de acceder a la cuenta del propietario en el proveedor de DNS o el registrador, poniendo en evidencia serias vulnerabilidades en la gestión y seguridad de los dominios.
Los ataques Sitting Ducks explotan principalmente las deficiencias de configuración en los registradores y la falta de verificación de propiedad adecuada en los proveedores de DNS. Estas brechas permiten a los atacantes redirigir el tráfico de los dominios secuestrados, interceptar correos electrónicos y, en muchos casos, obtener acceso a información sensible sin que el propietario del dominio lo sepa.
Investigadores de seguridad han señalado que la magnitud del problema es aún mayor de lo que se pensaba inicialmente. Según sus análisis, más de un millón de dominios están en riesgo de ser secuestrados diariamente mediante estos ataques. Esta alarmante cifra subraya la necesidad urgente de mejorar las prácticas de seguridad tanto a nivel de los registradores como de los proveedores de DNS.
Varios grupos cibercriminales rusos han estado empleando este vector de ataque durante años, utilizando los dominios secuestrados para llevar a cabo campañas de spam, estafas, distribución de malware, phishing y exfiltración de datos.
Te podrá interesar leer: ¿Cómo protegerse contra ataques de envenenamiento DNS?
Los problemas que hacen posibles los ataques Sitting Ducks fueron documentados por primera vez en 2016 por Matthew Bryant, un ingeniero de seguridad. A pesar de esto, este vector de ataque sigue siendo una forma relativamente sencilla de secuestrar dominios en comparación con otros métodos más conocidos.
Para que el ataque sea posible, deben darse las siguientes condiciones:
Las variantes del ataque incluyen la delegación parcialmente defectuosa (no todos los servidores de nombres están configurados incorrectamente) y la redelegación a otro proveedor de DNS. Sin embargo, si se cumplen las condiciones de una delegación defectuosa y un proveedor explotable, el dominio puede ser secuestrado.
Expertos explican que los atacantes pueden utilizar el método Sitting Ducks en dominios que emplean servicios DNS autorizados de un proveedor diferente al registrador, como un servicio de alojamiento web. Si el DNS autorizado o el servicio de alojamiento web para el dominio de destino expira, un atacante puede simplemente reclamarlo creando una cuenta con el proveedor de servicios DNS.
El cibercriminal puede entonces configurar un sitio web malicioso bajo ese dominio y ajustar los registros DNS para redirigir las solicitudes de direcciones IP a una dirección falsa. El propietario legítimo, por su parte, no podrá modificar los registros DNS.
Escenario de "Sitting Ducks"
Conoce más sobre: Hackers Explotan Túnel de Cloudflare para Campañas de Malware
Desde 2018, varios actores de amenazas han estado explotando el vector de ataque conocido como Sitting Ducks (o Ducks Now Sitting - DNS). Este método ha permitido el secuestro de más de 35.000 dominios, con incidentes en los que los cibercriminales han mantenido el control de los dominios secuestrados desde unos pocos días hasta un año completo.
En algunos casos, los mismos dominios han sido secuestrados sucesivamente por múltiples actores de amenazas. Estos grupos han utilizado los dominios secuestrados para sus operaciones durante uno o dos meses antes de pasarlos a otros atacantes.
Un caso confirmado es el de GoDaddy, que ha sido víctima de los ataques Sitting Ducks. Además, se ha identificado que al menos seis proveedores de DNS son actualmente vulnerables a este tipo de ataque.
Varios grupos de cibercriminales han sido identificados utilizando los ataques Sitting Ducks para diversas actividades maliciosas:
Spammy Bear: Este grupo comenzó a secuestrar dominios de GoDaddy a finales de 2018, utilizándolos principalmente en campañas de spam.
Vacant Viper: Desde diciembre de 2019, este grupo ha estado secuestrando alrededor de 2,500 dominios al año. Utilizan estos dominios en el sistema 404TDS, que distribuye el malware IcedID y configura dominios de comando y control (C2) para otras amenazas.
VexTrio Viper: Activo desde principios de 2020, este grupo emplea los dominios secuestrados en un sistema de distribución de tráfico masivo (TDS), facilitando las operaciones de SocGholish y ClearFake.
Actores sin nombre: Además de los grupos mencionados, varios actores de amenazas más pequeños y menos conocidos también han estado utilizando los ataques Sitting Ducks. Estos actores crean redes para la distribución de tráfico, campañas de spam y phishing.
Podría interesarte leer: Detección de Amenazas en Servidores DNS con Wazuh
Para protegerse contra los ataques Sitting Ducks, es crucial que los propietarios de dominios adopten medidas preventivas y proactivas.
Proteger los dominios contra los ataques Sitting Ducks requiere un enfoque multifacético que involucra a los propietarios de dominios, registradores, reguladores y organismos de normalización. Al adoptar medidas preventivas y trabajar juntos, podemos fortalecer la seguridad del DNS y minimizar el riesgo de secuestro de dominios.