DNS-Hijacking-Überwachung

Überblick

Tradecraft-Skripte zur Unterstützung bei der Erkennung von DNS-Hijacking-Versuchen nach den Enthüllungen im Januar 2019

• https://www.us-cert.gov/ncas/alerts/AA19-024A
• https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html
• https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html
• https://blog-cert.opmd.fr/dnspionage-focus-on-internal-actions/
• https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

Die Skripte

UberRootResolve

Dieses Skript nimmt die IANA-Liste der TLDs und:

• löst sie für IPv4 und IPv6 auf
• schlägt die ASN-Informationen für diese IPs nach
• speichert die Ergebnisse in zwei Dateien ** Output-!TLDs.txt - eine CSV-Datei mit Domain und ihren Nameservern ** Output-[TLD].txt - eine CSV-Datei für die Domain mit ihren Nameservern, deren IPv4- und IPv6-Adressen und ASNs
• packt dann alle Ergebnisse in eine Datei mit Zeitstempel, um mehrere Durchläufe zu ermöglichen

UberFindGov

Dieses Skript nimmt die IANA-Liste der TLDs und:

• sucht nach den Domains, die ein gov.[TLD] auflösen