Monitoramento de Sequestro de DNS

Visão Geral

Scripts de tradecraft para auxiliar na detecção de tentativas de sequestro de DNS após as divulgações em janeiro de 2019

• https://www.us-cert.gov/ncas/alerts/AA19-024A
• https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html
• https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html
• https://blog-cert.opmd.fr/dnspionage-focus-on-internal-actions/
• https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

Os Scripts

UberRootResolve

Este utiliza a lista de TLDs da IANA e:

• os resolve para IPv4 e IPv6
• consulta as informações de ASN para esses IPs
• armazena os resultados em dois arquivos ** Output-!TLDs.txt - um arquivo CSV com o domínio e seus servidores de nome ** Output-[TLD].txt - um arquivo CSV para o domínio com seus servidores de nome, seus endereços IPv4 e IPv6 e ASNs
• em seguida, compacta todos os resultados em um arquivo com carimbo de data/hora para permitir múltiplas execuções

UberFindGov

Este utiliza a lista de TLDs da IANA e:

• procura por domínios que resolvem um gov.[TLD]