T1584.001: Домены
Злоумышленники могут перехватывать домены и (или) поддомены, чтобы использовать их для атак. Перехват регистрации домена — это изменение данных о доменном имени без разрешения первоначального владельца. Злоумышленники могут получить доступ к учетной записи электронной почты владельца домена, а затем заявить регистратору, что забыли пароль, чтобы изменить регистрационные сведения о домене. Злоумышленники также могут использовать социальную инженерию против специалистов службы поддержки, чтобы получить доступ к учетной записи домена, или воспользоваться периодами между продлениями.
Возможен также перехват поддомена, если в организациях есть DNS-записи, указывающие на несуществующие или отключенные ресурсы. В таких случаях злоумышленник может захватить поддомен и использовать доверие к основному домену в своих целях.
Злоумышленники, скомпрометировавшие домен, могут создать подконтрольные им (так называемые теневые) поддомены и сохранив при этом существующие записи DNS. Поскольку работа домена не нарушается, вредоносные поддомены могут долгое время оставаться незамеченными.
Способы обнаружения
ID | DS0038 | Источник и компонент данных | Доменное имя: Пассивная (passive) DNS | Описание | Monitor for logged domain name system (DNS) registry data that may hijack domains and/or subdomains that can be used during targeting. In some cases, abnormal subdomain IP addresses (such as those originating in a different country from the root domain) may indicate a malicious subdomain. Much of this activity will take place outside the visibility of the target organization, making detection of this behavior difficult. Detection efforts may be focused on related stages of the adversary lifecycle, such as during Command and Control. |
---|
ID | DS0038 | Источник и компонент данных | Доменное имя: Регистрация домена | Описание | Consider monitoring for anomalous changes to domain registrant information and/or domain resolution information that may indicate the compromise of a domain. Efforts may need to be tailored to specific domains of interest as benign registration and resolution changes are a common occurrence on the internet. |
---|
ID | DS0038 | Источник и компонент данных | Доменное имя: Активная (active) DNS | Описание | Monitor for queried domain name system (DNS) registry data that may hijack domains and/or subdomains that can be used during targeting. In some cases, abnormal subdomain IP addresses (such as those originating in a different country from the root domain) may indicate a malicious subdomain. Much of this activity will take place outside the visibility of the target organization, making detection of this behavior difficult. Detection efforts may be focused on related stages of the adversary lifecycle, such as during Command and Control. |
---|
Меры противодействия
ID | M1056 | Название | Предкомпрометация | Описание | This technique cannot be easily mitigated with preventive controls since it is based on behaviors performed outside of the scope of enterprise defenses and controls. |
---|