Мониторинг перехвата DNS

Обзор

Скрипты для выявления попыток перехвата DNS после раскрытий в январе 2019 года

• https://www.us-cert.gov/ncas/alerts/AA19-024A
• https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html
• https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html
• https://blog-cert.opmd.fr/dnspionage-focus-on-internal-actions/
• https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

Скрипты

UberRootResolve

Этот скрипт берёт список TLD от IANA и:

• разрешает их для IPv4 и IPv6
• ищет информацию об ASN для этих IP
• сохраняет результаты в двух файлах ** Output-!TLDs.txt - CSV-файл с доменом и его серверами имён ** Output-[TLD].txt - CSV-файл для домена с его серверами имён, их IPv4- и IPv6-адресами и ASN
• затем упаковывает все результаты в файл с меткой даты и времени, что позволяет выполнять несколько запусков

UberFindGov

Этот скрипт берёт список TLD от IANA и:

• ищет те домены, которые разрешаются в gov.[TLD]