DNS ハイジャック監視

概要

2019年1月の情報開示後にDNSハイジャックの試みを検出するためのトレードクラフトスクリプト

• https://www.us-cert.gov/ncas/alerts/AA19-024A
• https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html
• https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html
• https://blog-cert.opmd.fr/dnspionage-focus-on-internal-actions/
• https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

スクリプト

UberRootResolve

これはIANAのTLDリストを取得し、以下を行います：

• それらをIPv4およびIPv6で解決する
• それらのIPのASN情報を検索する
• 結果を2つのファイルに保存する ** Output-!TLDs.txt - ドメインとそのネームサーバーを含むCSVファイル ** Output-[TLD].txt - ドメインのネームサーバー、それらのIPv4アドレスとIPv6アドレス、ASNを含むCSVファイル
• その後、すべての調査結果を日時スタンプ付きのファイルにzipし、複数回の実行を可能にする

UberFindGov

これはIANAのTLDリストを取得し、以下を行います：

• 以下のドメインを解決するものを探します：gov.[TLD]