Surveillance du détournement DNS

Aperçu

Scripts de tradecraft pour aider à détecter les tentatives de détournement DNS après les divulgations de janvier 2019

• https://www.us-cert.gov/ncas/alerts/AA19-024A
• https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html
• https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html
• https://blog-cert.opmd.fr/dnspionage-focus-on-internal-actions/
• https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

Les Scripts

UberRootResolve

Ce script prend la liste IANA des TLD et :

• les résout pour IPv4 et IPv6
• recherche les informations ASN pour ces IP
• enregistre les résultats dans deux fichiers ** Output-!TLDs.txt - un fichier CSV contenant le domaine et ses serveurs de noms ** Output-[TLD].txt - un fichier CSV pour le domaine avec ses serveurs de noms, leurs adresses IPv4 et IPv6 et les ASN
• puis compresse toutes les découvertes dans un fichier horodaté pour permettre plusieurs exécutions

UberFindGov

Ce script prend la liste IANA des TLD et :

• recherche les domaines qui résolvent un gov.[TLD]