به گزارش کارگروه بینالملل سایبربان؛ به گفته «Radware»، ارائه دهنده راهحلهای کاربردی و امنیت سایبری، محققان یک نوع آسیبپذیری در اجرای سرورهای بازگشتی «DNS»، سیستم نام دامنه – کامپیوتری است که به یک درخواست بازگشتی از مشتری پاسخ میدهد و زمانی را برای بررسی رکورد دیاناس اختصاص میدهد – کشف کردند که میتواند برای انجام حملات مخرب انکار سرویس (DDoS) علیه هر قربانی مورد استفاده قرار گیرد.
کارشناسان دانشگاه تلآویو و مرکز «The Interdisciplinary» در اراضی اشغالی معتقدند که حملهای که در آن از آسیبپذیری فوق استفاده میشود، «NXNSAttack» نام دارد؛
برخلاف حملات انکار سرویس کاربردی – که بهصورت مستقیم روی یک هاست یا سرویس تأثیر دارد – NXNSAttack توانایی وضوح نام دامنه قربانیان خود را هدف قرار میدهد. هدف حمله انکار سرویس همانند «NXDOMAIN» یا « DNS Water Torture» ایجاد اختلال در سرورهای معتبر دامنه با بارگذاری بیش از حد درخواستهای نامعتبر با استفاده از درخواستهای دامنه تصادفی از طریق سرور بازگشتی دیاناس است.
شرکت Radware در این خصوص گفت :
«شناسایی این نوع حمله و کاهش در سرور معتبر دشوار است، زیرا درخواستها از سرورهای بازگشتی قانونی DNS نشأت میگیرند. با مختل کردن وضوح نام دامنه، مهاجمان بهطور مؤثر دسترسی به تمام خدمات ارائه شده در زیر دامنه را مسدود میکنند. سرویس گیرندگان جدید نمیتوانند نام میزبان سرویس را زمان حمله پیدا کنند، زیرا هیچ راهی برای یافتن آدرس آیپی و اتصال به سرویس ندارند.»
برخلاف فاکتور تقویت بسته 3 برابر حمله NXDOMAIN، زمان حمله به یک زیر دامنه (viktim.com) تا 1621 برابر زمان هدف قرار دادن یک سرور بازگشتی، عوامل تقویت بسته تا 74 بار تغییر میکنند. عوامل تقویت پهنای باند بین 21 برای حملات زیر دامنه و 163 برابر هنگام هدف قرار دادن یک سرور بازگشتی متغیر است.
هدف قرار دادن سرورهای دامنه ریشه و سطح بالا منجر به ضریب تقویت بسته تا 1071 برابر و ضریب تقویت پهنای باند تا 99 برابر میشود. NXNSAttack با تقویت بالا و هدفگیری انعطافپذیر، یک بردار حمله بسیار توانمند برای اجرا در مقیاسهای مختلف است. محققان شرکت Radware از کشف آسیبپذیری و کمک به فروشندگان و ارائه دهندگانی خبر دادند كه قبلاً نرمافزار و سرورهای خود را پچ كردهاند.
اجرای سرور سیستم نام دامنه در زمان کشف آسیبپذیری رفع مشکل شد : ISC BIND (CVE-2020-8616)، NLnet labs Unbound (CVE-2020-12662)، PowerDNS (CVE-2020-10995) و CZ.NIC Knot Resolver (CVE-2020-12667).
همچنین ارائه دهندگان سرور بازگشتی دیاناس از جمله : «Cloudflare »، گوگل، آمازون، مایکروسافت، اوراکل (DYN)، «Verisign»، «IBM Quad9» و «ICANN» سرویسهای خود را برای کاهش آسیبپذیری در حملات انکار سرویس بهروزرسانی کردند. سایر ارائه دهندگان سرویس و نرمافزار، اعلامیههای مربوط به تعمیر و پچ را دنبال کردند/
محققان شرکت Radware توضیح دادند :
«میتوان فرض کرد که اکثر سرورهای بازگشتی، خصوصی و عمومی، پچ شده یا در آینده خواهند شد. در معرض حمله بودن یا سوءاستفاده از آسیبپذیری، تنها محدود به سرورهای بازگشتی عمومی نمیشود و روی سرورهای خصوصی در « ISPها»، ابرها یا درون سازمانها نیز تأثیر خواهد داشت.»
این شرکت افزود که عوامل مخرب از انواع مختلف باتها در گذشته برای اجرای حملات دامنه تصادفی استفاده میکردند و میتوانند همان باتها را برای اجرای NXNSAttack و ایجاد اختلال بهکار ببرند. دسترسی آسان به کد منبع برای باتهایی مانند میرای (Mirai) – پشتیبان خارجی برای دامنههای تصادفی – به عنوان پتانسیل اجرای اینگونه حملات مخرب محسوب میشوند.
به گفته محققان، قربانیان هیچ درکی از میزان خطر ندارند؛ هر مؤلفهای از زیرساختهای معتبر DNS، از جمله دامنه سطح دوم (viktim.com)، دامنه سطح بالا (.com ، .info ، ...) و نامهای اصلی سرورها ('.') میتواند از طریق سرورهای بازگشتی دیاناس خارج از کنترل مختل شود.
ارائهدهندگان بازگشتی دیاناس میتوانند با اصلاح ارائه شده از سوی تهیه کنندگان نرمافزار دیاناس یا با اجرای راهحل «Max1Fetch» از زیرساختهای خود در برابر حملات مخافظت کنند. از طرف دیگر، ارائهدهندگان بازگشتی دیاناس با استفاده تهاجمی از حافظه نهان معتبر «DNSSEC» (RFC8198) یا کاربرد «DefensePro» برای حفاظت دیاناس از زیرساختهای خود محافظت کنند.
شرکت یاد شده اعلام کرد :
«دیاناس در «HTTPS (DOH)» یا «TLS (DOT)» در برابر NXNSAttack محافظتی نمیکند. هدف پروتکلهای DOH و DOT، تأمین حریم شخصی مشتری است و هیچ کاری برای محافظت از طرف معتبر از زیرساخت DNS انجام نمیشود. در بدترین حالت، این 2 پروتکل میتوانند به عنوان تکنیکهای فرار برای پنهان کردن نامهای دامنه تصادفی از سنسورهای شبکه بالادست و محافظت در جریان داده های رمزگذاری شده «TLS»، شناسایی یا کاهش حملات مخرب DNS استفاده شوند.»
افزایش مقدار زمان حفظ ارزش منطقه دامنه باعث افزایش مقاومت خدمات زیردامنه در برابر اختلال در سرور دامنه معتبر خواهد شد، اما این کار با هزینه سرعت دامنه انجام خواهد شد. به علاوه، این تنها یک راهحل برای مشتریان پشتیبان در زمان اولیه خواهد بود و یک راهحل کامل و جامع در زمان حمله محسوی نمیشود.
Radware گفت : «مهاجمان میتوانند زیرساخت حمله را برای هدف قرار دادن هر زیر دامنه (viktim.com) ایجاد کنند و بهطور بالقوه سایر زیر دامنههای ارائه شده از سوی همان سرور نام دامنه یا ارائه دهندگان خدمات را تحت تأثیر قرار دهند. با توجه به منابع کافی، حملات میتوانند دامنههای سطح بالا مانند : «.com»، «.info»، «.us»، «.ca»، «.de» و ... را هدف قرار دهند و حتی سرورهای نام اصلی اینترنت مختل شوند.»
