چرا هکرها از حملات تونل سازی DNS استفاده می کنند؟

حملات تونل سازی DNS، سامانه نام دامنه را که یکی از قابل اعتمادترین و پرکاربردترین سامانه‌ها در اینترنت است، به ابزاری برای مجرمان سایبری تبدیل می‌کنند. این نوع حمله از پروتکل DNS سوءاستفاده کرده و ترافیک مخرب را به‌صورت مخفیانه از میان لایه‌های دفاعی سازمان قربانی عبور می‌دهد. مجرمان سایبری توسط نام‌های دامنه مخرب و سرورهای DNS آلوده، از سامانه‌های حفاظتی عبور کرده و فرآیند استخراج داده‌ها را به‌صورت کامل انجام می‌دهند.

پیش از آنکه به توضیح دقیق حملات تونل سازی DNS و نحوه عملکرد آنها پرداخته شود، ابتدا بهتر است کمی درباره DNS بدانید.

سامانه نام دامنه (DNS) چیست؟

DNS، یک دیتابیس جهانی برای نام‌گذاری است. وظیفه DNS ترجمه نام‌های دامنه قابل‌خواندن توسط انسان (مانند example.net) به آدرس‌های IP قابل‌فهم برای ماشین‌ها (مانند ۱۲۳.۴۵.۶۷.۸۹) می باشد. این فرآیند باعث می‌شود کاربران عادی نیازی به حفظ اعداد طولانی و پیچیده نداشته باشند.

اکثر خدمات آنلاین به تعداد زیادی از درخواست‌های ترجمه DNS که پیوسته در حال انجام هستند، وابسته می باشند. به همین دلیل، ترافیک DNS بسیار پرکاربرد و مورد اعتماد تلقی می‌شود. از آنجا که DNS جهت انتقال بسته های داده طراحی نشده بود و تنها برای تبدیل نام‌ها به کار می‌رفت، در ابتدا به‌عنوان تهدیدی برای ارتباطات مخرب یا استخراج داده‌ها محسوب نمی‌شد اما واقعیت این است که DNS تنها یک ابزار ترجمه نام نیست. درخواست‌های DNS می‌توانند بخش‌های کوچکی از داده را میان دو دستگاه، سیستم یا سرور انتقال دهند. متأسفانه، همین ویژگی باعث می‌شود که DNS به مسیری برای انجام حملات تبدیل گردد.

با این وجود، اکثر سازمان‌ها بسته‌های DNS را به‌طور منظم از منظر فعالیت های مخرب تحلیل نمی‌کنند. در عوض، تمرکز اصلی آنها معمولاً روی تحلیل ترافیک وب یا ایمیل است زیرا تصور می‌شود حملات احتمالی از آن مسیرها رخ می‌دهند. واقعیت این است که هر نقطه پایانی (endpoint) باید تحت نظارت دقیق قرار گیرد تا از حملات تونل سازی DNS جلوگیری شود.

تصویر(۱)

حمله DNS tunneling یا تونل سازی DNS چیست؟

حملات تونل سازی DNS یک تهدید سایبری بسیار رایج هستند زیرا شناسایی آنها دشوار می باشد. این حمله برای هدایت درخواست‌های DNS به‌سمت یک سرور تحت کنترل مهاجم استفاده می‌شود و بدین‌ وسیله یک مسیر مخفی برای فرماندهی و کنترل (Command & Control) و همچنین استخراج داده‌ها فراهم می‌گردد.

در بیشتر موارد، تونل سازی DNS شامل داده‌هایی است که در قالب payload به درخواست‌های DNS افزوده می‌شوند. این روش برای کنترل از راه دور یک سرور و اجرای برنامه‌های آن نیز به‌کار می‌رود.

برای موفقیت‌آمیز بودن این حمله، لازم است سیستم قربانی به شبکه‌ای بیرونی دسترسی داشته باشد تا بتواند با یک سرور DNS داخلی ارتباط برقرار کند. هکرها معمولاً سروری را در اختیار دارند که به‌عنوان مرجع (authoritative server) عمل کرده و دامنه‌ای برای راه‌اندازی بخش سرور تونل سازی و بارگذاری فایل‌های اجرایی، در آن ثبت شده است.

تاریخچه حملات تونل سازی DNS

تاریخچه حملات تونل سازی DNS به‌طور مستقیم با روند تحول تهدیدات امنیت سایبری گره خورده است. این روش در ابتدا به‌عنوان ابزاری برای دور زدن محدودیت‌های شبکه و جلوگیری از شناسایی به‌کار گرفته می‌شد. استفاده اولیه از این تکنیک عمدتاً در حوزه‌های قانونی مانند عبور از شبکه‌های فیلتر شده یا ناشناس‌ ماندن در فضای اینترنت بود.

با گذشت زمان، تونل سازی DNS به یکی از روش‌های مورد استفاده مهاجمان سایبری برای ایجاد کانال‌های مخفی جهت ارسال دستورات و همچنین استخراج داده‌های حساس، تبدیل شد.

اولین نشانه‌های این نوع حمله به اوایل دهه ۲۰۰۰ بازمی‌گردد و اغلب با انتشار بدافزارهای مختلف همراه بوده است. در طول سال‌ها، مهاجمان روش‌های خود را پیچیده‌تر کرده‌اند و تکنیک‌های پیشرفته‌تری برای عبور از مکانیزم‌های دفاعی به‌کار برده‌اند. این روند، متخصصان حوزه امنیت سایبری را وادار نمود تا راهکارهای پیشرفته‌تری برای شناسایی، پایش و مقابله با این نوع تهدیدات توسعه دهند.

با رشد پلتفرم‌های دیجیتال و سرویس‌های پخش زنده (Streaming Services)، تهدیدات امنیت سایبری صنایع مختلف از جمله رسانه و تولید محتوا را نیز تحت تأثیر قرار داده است. برای نمونه، شرکت‌هایی که از ابزارهای ساخت کانال‌های تلویزیونی جهت راه‌اندازی پلتفرم‌های پخش زنده استفاده می‌کنند، باید تدابیر امنیتی دقیقی برای مقابله با تهدیداتی نظیر حملات مبتنی بر تونل سازی DNS اتخاذ نمایند.

تصویر(۲)

مکانیزم عملکرد حملات تونل سازی DNS چگونه است؟

حملات تونل سازی DNS از پروتکل DNS سوءاستفاده کرده و بدین وسیله، بدافزار یا داده‌ها را از طریق یک مدل کلاینت-سرور انتقال می‌دهند. 

همه‌چیز از جایی آغاز می‌شود که کاربر یک بدافزار را دانلود می‌کند یا مهاجم سایبری با سوءاستفاده از یک آسیب‌پذیری در دستگاه قربانی، موفق به انتقال یک Payload مخرب (malicious payload) می‌گردد. در اغلب موارد، مهاجم قصد دارد ارتباطی مداوم با دستگاه آلوده شده برقرار کند تا امکان اجرای فرمان روی دستگاه هدف یا استخراج داده‌ها فراهم شود. بنابراین، مهاجم یک ارتباط command-and-control (فرمان و کنترل یا C2) برقرار می‌کند. چنین ترافیکی باید بتواند از سد تدابیر امنیتی پیرامونی شبکه عبور نماید و همچنین تا پیش از رسیدن به شبکه هدف، از شناسایی در امان بماند.

به همین دلیل، DNS گزینه مناسبی برای ایجاد تونل ارتباطی محسوب می‌شود. منظور از «تونل» در امنیت سایبری، یک اتصال پروتکلی است که بار داده‌ای (payload) را حمل می‌کند و از سازوکارهای امنیتی پیرامونی عبور می‌نماید. بدین ترتیب، حمله تونل سازی DNS قادر است اطلاعات را درون درخواست‌های DNS پنهان کرده و آنها را به یک سرور تحت کنترل مهاجم ارسال نماید. ترافیک DNS معمولاً به‌راحتی از سد تدابیری همچون فایروال‌ها عبور می‌کند.

برای ایجاد تونل DNS، هکر ابتدا یک نام دامنه ثبت کرده و آن را به یک سرور مرجع (authoritative name server) که تحت کنترل خودش است متصل می‌نماید.

سپس بدافزار یا payload مخرب موجود در دستگاه آلوده‌شده، یک درخواست DNS برای زیر دامنه‌ای می‎فرستد که حاوی ارتباط رمزگذاری‌شده است. سرور بازگشتی DNS یا DNS Resolver، این درخواست را دریافت کرده و به سمت سرور مهاجم هدایت می‌کند. سرور مهاجم نیز پاسخی حاوی داده مخرب (نظیر فرمان‌ها) به دستگاه آلوده ارسال می‌نماید. این فرایند می‌تواند به‌طور کامل از شناسایی شدن در امان بماند. آسیب‌پذیری‌هایی از این دست، تهدیدی جدی به شمار می‌روند.

تصویر(۳)

مراحل حمله DNS tunneling یا تونل سازی DNS:

1. مهاجم یک دامنه ثبت می‌کند و آن را به سروری تحت کنترل خود متصل می‌سازد. روی این سرور، بدافزار تونل سازی نصب شده است.

2. مهاجم دستگاه قربانی را با بدافزار آلوده کرده و از سد فایروال عبور می‌کند. ترافیک DNS معمولاً برای ورود و خروج از فایروال محدودیت خاصی ندارد.

3. سرور بازگشتی DNS (Resolver) از طریق سرورهای اصلی و دامنه سطح بالا (TLD)، آدرس IP را درخواست می‌کند.

4. سپس، DNS Resolver درخواست DNS را به سمت سرور مرجع (Authoritative) می‎فرستد که تحت کنترل مهاجم بوده و نرم‌افزار تونل سازی در آن نصب شده است.

5. ارتباط بین مهاجم و هدف بدون هیچ هشدار یا شناسایی، ایجاد می‌شود.

چرا هکرها از حملات تونل سازی DNS استفاده می‌کنند؟

هکرها به این دلیل از تونل سازی DNS بهره می‌برند که ترافیک DNS بسیار گسترده بوده و در عین حال کمتر مورد پایش قرار می‌گیرد. این حمله به آنها اجازه می‌دهد داده‌ها را به‌صورت پنهانی میان یک سیستم آلوده و سرور C2 منتقل کنند. از آنجا که درخواست‌ها و پاسخ‌های DNS عموماً مورد اعتماد هستند و به‌ندرت بررسی می‌شوند، این تکنیک به‌راحتی می‌تواند از سد فایروال‌ها و سایر تدابیر امنیتی عبور نماید.

حملات تونل سازی DNS به مهاجمان امکان می‌دهند تا دسترسی پایدار داشته باشند، دستوراتی را از راه دور اجرا نمایند و داده‌های حساس را بدون شناسایی شدن، استخراج کنند. گستردگی جهانی و بررسی اندک ترافیک DNS باعث می‌شود که این پروتکل به بستری ایده‌آل برای ارتباطات پنهانی و انتقال داده‌ها تبدیل گردد.

نحوه شناسایی حملات تونل سازی DNS

روش‌های مختلفی برای شناسایی حملات تونل سازی DNS وجود دارد اما به‌طور کلی، می‌توان آنها را به دو دسته اصلی تقسیم کرد:

1. تحلیل بار داده‌ای (Payload Analysis)
2. تحلیل ترافیک (Traffic Analysis)

تصویر(۴)

تحلیل بار داده (Payload Analysis)

در این روش، بار داده و پاسخ DNS درون یک یا چند درخواست به‌منظور یافتن نشانه‌های تونل، مورد بررسی قرار می‌گیرند.

• بررسی حجم درخواست و پاسخ: ابزارهای تونل سازی معمولاً سعی می‌کنند بیشترین میزان داده را درون درخواست و پاسخ قرار دهند. بنابراین، درخواست‌هایی که برای تونل سازی استفاده می‌شوند، اغلب دارای برچسب‌های (labels) طولانی هستند.

• بی‌نظمی در نام میزبان ها (hostnames): نام‌ دامنه های معتبر معمولاً دارای واژه‌های قابل فهم و معنادار هستند اما نام‌هایی که رمزگذاری شده‌اند، اغلب فاقد نظم بوده و از مجموعه کاراکترهای پیچیده‌تر استفاده می‌کنند.

• تحلیل آماری: می‌توان با بررسی ترکیب کاراکترهای خاص در نام‌های DNS، تونل سازی را شناسایی کرد. نام‌های معتبر معمولاً شامل تعداد کمتری از ارقام هستند، در حالی که نام‌های رمزگذاری‌شده دارای ارقام زیادی می باشند. بررسی نسبت کاراکترهای عددی در نام دامنه و همچنین طولانی‌ترین زیر رشته معنادار (Longest Meaningful Substring – LMS) می‌تواند کمک‌کننده باشد.

• رکوردهای غیرمعمول DNS: می‌توان رکوردهای DNS را بررسی کرد که معمولاً توسط کلاینت‌های معمولی استفاده نمی‌شوند؛ برای مثال، رکوردهای TXT را در نظر بگیرید.

• نقض یک سیاست: اگر سیاستی تعیین کند که هر جستجوی DNS باید از یک سرور DNS داخلی عبور نماید، نقض آن سیاست می‌تواند به‌عنوان یک روش شناسایی استفاده گردد.

• امضاهای خاص: می‌توان از امضاهای خاص برای بررسی ویژگی‌های دقیق در هدر DNS استفاده کرد و سپس بار داده (payload) را جهت یافتن محتوای خاص اسکن نمود.

تحلیل ترافیک (Traffic Analysis)

در این روش، ترافیک DNS طی یک بازه زمانی بررسی می‌شود.

• حجم ترافیک DNS از هر آدرس IP: یکی از روش‌های ساده، بررسی میزان ترافیک DNS خروجی برای هر آدرس IP خاص است.

• حجم ترافیک DNS به ازای هر دامنه: روش دیگر، بررسی میزان ترافیک DNS است که به سمت یک دامنه مشخص ارسال می‌شود. ابزارهای تونل سازی معمولاً برای انتقال داده، از یک دامنه خاص استفاده می‌کنند؛ بنابراین تمام ترافیک تونل‌سازی شده، به همان دامنه خواهد رسید.

• تعداد نام‌ میزبان ها به‌ازای هر دامنه: ابزارهای تونل سازی DNS در هر درخواست، یک نام میزبان متفاوت ارسال می‌کنند. این موضوع باعث می‌شود تعداد نام‌ میزبان‌ها به‌شکل غیرعادی افزایش یابد.

• موقعیت جغرافیایی سرور DNS: می‌توان ترافیک DNS که به مناطقی مشکوک مربوط می شوند و خدمات یا محصولات شما در آنجا ارائه نمی‌گردند را بررسی نمود.

• تاریخچه دامنه: بررسی زمان ایجاد رکوردهای A یا NS برای یک دامنه، می‌تواند در شناسایی دامنه‌هایی که برای فعالیت‌های مخرب به‌کار می‌روند مفید باشد.

تصویر(۵)

محافظت در برابر حملات تونل سازی DNS

DNS یک سرویس حیاتی در شبکه است، بنابراین انسداد آن می‌تواند مشکلات جدی به همراه داشته باشد. از این رو، محافظت در برابر حملات تونل سازی DNS مستلزم اجرای چند اقدام کلیدی است که می‌تواند به جلوگیری از این نوع حمله کمک کند. شما باید توجه ویژه‌ای به ردیابی آدرس‌های IP و نام دامنه‌های مشکوک که از منابع ناشناس سرچشمه می‌گیرند داشته باشید. می‌توانید تمام کلاینت‌های داخلی را به گونه‌ای پیکربندی کنید که درخواست‌های DNS خود را فقط به یک سرور DNS داخلی ارسال کنند. به این صورت، می‌توانید دامنه‌های احتمالا مخرب را فیلتر کرده و از فعالیت آنها جلوگیری نمایید.

بسیار مهم است که نسبت به هرگونه نام دامنه مشکوک هوشیار باشید و ترافیک DNS را به‌طور مداوم رصد نمایید. این کار می‌تواند احتمال وقوع حملات تونل سازی DNS را کاهش دهد. راه‌اندازی یک فایروال DNS نیز می‌تواند به شناسایی و توقف‌ نفوذهای مخرب کمک کند.

استفاده از مانیتورینگ DNS برای مقابله با تونل‌سازی DNS

مانیتورینگ و نظارت بر DNS می‌تواند در کاهش خطرات ناشی از تونل‌سازی DNS بسیار مؤثر باشد زیرا امکان مشاهده همزمان الگوهای ترافیک و رفتار DNS را فراهم می‌کند. با تحلیل مداوم کوئری‌ها (queries) و پاسخ‌های DNS، پایشگرها می‌توانند ناهنجاری‌ها و فعالیت‌های مشکوکی که نشان‌دهنده تلاش برای تونل‌سازی هستند را شناسایی نمایند. این نظارت پیشگیرانه به سازمان‌ها اجازه می‌دهد تا تهدیدات احتمالی مانند استخراج پنهانی داده‌ها و ارتباطات فرمان و کنترل (C2) را پیش از گسترش و تشدید، شناسایی کرده و به آن پاسخ دهند.

خطرات و پیامدهای حمله تونل سازی DNS

حمله تونل سازی DNS خطرات قابل‌توجهی را برای سازمان‌ها به همراه دارد:

• نشت داده‌ها: مهاجمان می‌توانند اطلاعات حساس از جمله داده‌های شخصی، مالکیت معنوی و سوابق مالی را استخراج کنند.

• دسترسی غیرمجاز: این حملات به مهاجمان اجازه می‌دهند تا دسترسی مخفی و مداوم به سیستم‌های آلوده‌شده را حفظ کنند.

• اختلال عملیاتی: قابلیت اجرای دستورات از راه دور می‌تواند منجر به اختلال در عملکرد سیستم یا حتی از کار افتادن آن شود.

• زیان مالی: هزینه‌های ناشی از سرقت داده‌ها، جریمه‌های مختلف و تلاش برای بازیابی سیستم‌ها، می‌تواند بسیار سنگین باشد.

• آسیب به اعتبار: افشای عمومی نقض امنیت می‌تواند به شهرت سازمان لطمه وارد کند و موجب از‌دست‌رفتن اعتماد مشتریان شود.

• چالش‌های شناسایی: ماهیت پنهانی تونل‌سازی DNS، شناسایی و مهار آن را دشوار کرده و احتمال بهره‌برداری بلندمدت بدون شناسایی را افزایش می‌دهد.

نمونه‌ها و موارد واقعی حملات تونل سازی DNS

در طول سال‌های اخیر، چندین نمونه مشهور از تونل‌سازی DNS، قدرت این تهدید سایبری را به‌وضوح نشان داده‌اند:

تصویر(۶)

کمپین Sea Turtle (سال ۲۰۱۹)

کمپین Sea Turtle در سال ۲۰۱۹ تاکتیک‌های پیشرفته جاسوسی سایبری تحت حمایت دولت‌ها را آشکار ساخت. در این کمپین، ثبت‌کنندگان دامنه، شرکت‌های مخابراتی و نهادهای دولتی هدف قرار گرفتند تا رکوردهای DNS آنها دستکاری شود. مهاجمان با تغییر در این رکوردها، ترافیک قانونی را به سرورهای مخرب تحت کنترل خود هدایت کردند. تونل‌سازی DNS نقش کلیدی در حفظ دسترسی پایدار مهاجمان، استخراج اطلاعات حساس و برقراری کانال‌های فرمان و کنترل (C2) داشت.

بدافزار SUNBURST (سال ۲۰۲۰)

بدافزار SUNBURST، که یکی از اجزای اصلی حمله زنجیره تامین SolarWinds در اواخر سال ۲۰۲۰ بود، پیچیدگی تهدیدات سایبری مدرن را به نمایش گذاشت.
SUNBURST تونل‌سازی DNS را به‌عنوان یکی از روش‌های ارتباطی برای برقراری ارتباط با زیرساخت C2 خود استفاده می‌کرد. با تعبیه اتصالات در کوئری‌ها و پاسخ‌های DNS، این بدافزار امکان تبادل محرمانه اطلاعات با سرورهای راه‌دور را فراهم ساخت. از این طریق، هکرها بدون اینکه توسط ابزارهای امنیتی سنتی شناسایی شوند توانستند داده‌های سرقت‌شده را استخراج کرده و دستورات بیشتری دریافت کنند.

بدافزار UDPoS (سال ۲۰۱۵)

بدافزار UDPoS که در سال ۲۰۱۵ کشف شد، نوعی متفاوت از تونل‌سازی DNS را به نمایش گذاشت؛ جایی که مهاجمان از بسته‌های “پروتکل دیتاگرام کاربر” (UDP) برای استخراج اطلاعات کارت‌های اعتباری سرقت‌شده استفاده کردند. این بدافزار اطلاعات سرقت‌شده را در قالب درخواست‌های DNS کدگذاری می‌کرد و آنها را از طریق پروتکل UDP منتقل می‌ساخت تا از شناسایی توسط ابزارهای امنیتی سنتی که بیشتر بر ترافیک TCP متمرکز هستند، جلوگیری کند.

تفاوت مانیتورینگ TCP و UDP

در زمینه نظارت بر شبکه، اکثر ابزارهای سنتی روی ترافیک TCP تمرکز دارند. این در حالی است که بسیاری از تونل‌سازی‌های DNS، از UDP استفاده می‌کنند زیرا پروتکل اصلی انتقال DNS محسوب می‌شود. بنابراین، توجه ویژه به تحلیل ترافیک UDP و همچنین ارتقای ابزارهای مانیتورینگ برای پوشش هر دو پروتکل TCP و UDP، بسیار ضروری است.

بهترین اقدامات پیشنهادی

اجرای اقدامات امنیتی برای کاهش خطر حملات مبتنی بر تونل سازی DNS و ارتقاء سطح کلی امنیت این پروتکل، امری ضروری و حیاتی محسوب می‌شود. در گام نخست، توصیه می‌شود DNS resolution را به‌صورت متمرکز مدیریت کرده و تمامی دستگاه‌های داخلی شبکه را طوری پیکربندی کنید که صرفاً از سرورهای DNS داخلی مشخص‌شده استفاده نمایند. این اقدام، امکان نظارت و فیلتر مؤثرتر ترافیک خروجی DNS را فراهم می‌سازد.

تصویر(۷)

استفاده از فیلترهای DNS و سامانه‌های تحلیل تهدید، نقش مهمی در شناسایی و انسداد دامنه‌های مخرب شناخته‌شده دارد. این ابزارها با تحلیل الگوهای غیرعادی در درخواست‌های DNS می‌توانند تهدیدات احتمالی را نیز شناسایی کنند. بروزرسانی منظم فایروال و محدود سازی سطح دسترسی سرورهای DNS به اینترنت عمومی نیز از جمله اقدامات ضروری در این زمینه می باشد.

تقسیم‌بندی مناسب شبکه، موجب می‌شود در صورت نفوذ مهاجم، امکان حرکت جانبی او درون زیرساخت، محدود گردد. همچنین محدود کردن دسترسی کاربران و تجهیزات صرفاً به میزان موردنیاز، باعث کاهش سطح آسیب‌پذیری در زمان وقوع حمله خواهد شد.

در کنار اقدامات فنی، توجه به آموزش کاربران نیز بسیار اهمیت دارد. آموزش شناسایی ایمیل‌های فیشینگ و هشدار درباره خطرات دانلود فایل‌های مشکوک، می‌تواند از اجرای ناخواسته بدافزار توسط کارکنان جلوگیری کند. با رعایت این مجموعه اقدامات ساده اما مؤثر، حتی سازمان‌ها و کسب‌وکارهای کوچک نیز می‌توانند احتمال وقوع حملات تونل سازی DNS را به میزان قابل توجهی کاهش داده و امنیت سایبری خود را به سطح مطلوبی ارتقا دهند.

جمع‌بندی

حملات تونل سازی DNS یک تهدید جدی سایبری هستند که می‌توانند پیامدهای مخربی در پی داشته باشند. این روش به مجرمان سایبری امکان می‌دهد تا از تونل برای اهداف مخرب نظیر استخراج اطلاعات استفاده کنند.
علاوه بر این، هیچ ارتباط مستقیمی بین مهاجم و هدف وجود ندارد که این مسئله شناسایی تلاش‌های هکر را دشوارتر می‌سازد. از این‌رو، شناسایی به‌موقع و پیاده‌سازی راهکارهای امنیتی مؤثر، نظیر مانیتورینگ دقیق DNS و فایروال‌های هوشمند، می‌تواند توان دفاعی سازمان‌ها را در برابر چنین تهدیداتی افزایش دهد.