Monitoreo de Secuestro de DNS

Descripción general

Scripts de trade craft para ayudar a detectar intentos de secuestro de DNS tras las revelaciones de enero de 2019

• https://www.us-cert.gov/ncas/alerts/AA19-024A
• https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html
• https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html
• https://blog-cert.opmd.fr/dnspionage-focus-on-internal-actions/
• https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

Los Scripts

UberRootResolve

Este toma la lista de TLDs de IANA y:

• los resuelve para IPv4 e IPv6
• busca la información de ASN para esas IPs
• almacena los resultados en dos archivos ** Output-!TLDs.txt - un archivo CSV con el dominio y sus servidores de nombres ** Output-[TLD].txt - un archivo CSV para el dominio con sus servidores de nombres, sus direcciones IPv4 e IPv6 y los ASNs
• luego comprime todos los hallazgos en un archivo con marca de fecha y hora para permitir múltiples ejecuciones

UberFindGov

Este toma la lista de TLDs de IANA y:

• busca aquellos dominios que resuelven gov.[TLD]