釣魚詐騙以DNS伺服器引誘受害者

[哈啦]

CNET新聞專區：Robert Lemos
9/3/2005
原文網址 : http://taiwan.cnet.com/news/software...0097085,00.htm


安全專家本週表示，線上竊取個人資料的罪犯，已經採取更積極的手段，將受害者從合法的網站引向惡意網站。

上週五有若干報導指出，部分民眾的電腦在前往合法網站，如eBay或Google時，被引向試圖安裝間諜軟體的惡意網站。安全組織「網際網路風暴中心」(Internet Storm Center)的意外事件處理員Jason Lam表示，受牽連的高達30到40個網路。

他表示，網際網路風暴中心「很難確定有多少人受到影響，但目前尚未大幅擴散。」

遭到攻擊的DNS（域名系統）伺服器就像網路世界中的白頁，攻擊者將當中受歡迎的網址，改成惡意網站的網址。這種稱為毒害域名伺服器的伎倆，將使用者轉往冒名的網站，要求他們提供敏感的個人資料，或在其電腦中植入間諜軟體。

由SANS Institute召集一群意外事件處理專家所組成網際網路風暴中心表示，賽門鐵克（Symantec）防火牆和門戶安全軟體最近出現的漏洞，可能是部分DNS遭毒害的原因。不過，Lam表示，其他沒有使用賽門鐵克產品的網站，也是受害者。

他說：「我們尚未確定原因。」「我們沒有足夠的通報案件，因此很難就此下結論。」賽門鐵克尚未作出回應。

利用毒害DNS將使用者從合法網站引向惡意網站，以竊取敏感資訊，是相對較新的安全威脅，部分安全業者稱這種手法為「Pharming」。Lam警告，未來這類詐騙的執行若日益熟練，可以幾乎無法察覺。使用者可能相信他們前往的是合法網站，瀏覽器也不會顯示這個網站其實是非法的。

Lam說：「在這種情況下，網站的內容會不一樣。」「但藉由毒害DNS，如果他們有意用來釣魚詐騙，災情會非常嚴重。」Lam表示，金融網站和其他敏感服務所使用的驗證程序，能讓使用者注意到某些地方出錯。（陳智文）

有人知道這篇文章在講的是什麼情形嗎？看不太懂。

[Ricado]

DNS就跟電話簿一樣，有名字(網址)就可以查到電話號碼(IP)，全是無以計數的DNS Server，就跟隨手可得的電話簿，今天如果歹徒作了幾本假的電話簿，隨意丟在各個公共場所，民眾翻了這個電話簿就可能查到錯的電話號碼，例如要打話到銀行信用卡部，就可能打到詐騙集團的家裡。DNS更嚴重的是，它的資料匯透過DNS階成架構，一層一層的往下複製、散佈。

[哈啦]

作者: Ricado

DNS就跟電話簿一樣，有名字(網址)就可以查到電話號碼(IP)，全是無以計數的DNS Server，就跟隨手可得的電話簿，今天如果歹徒作了幾本假的電話簿，隨意丟在各個公共場所，民眾翻了這個電話簿就可能查到錯的電話號碼，例如要打話到銀行信用卡部，就可能打到詐騙集團的家裡。DNS更嚴重的是，它的資料匯透過DNS階成架構，一層一層的往下複製、散佈。

能否舉個假設演示一下？

[robowang]

太狠了 ! 太狠了 !
藉由入侵 DNS Server, 篡改 DNS 記錄, 然後用來進行網路釣魚
這樣的釣魚方式, 簡直無法預防, 也難以被識破
這些騙徒實在太狠了 !

[Ricado]

例如你要找domain.club.tw的網站，標準方式，重Root開始找，
【.】-->(委派)【tw】-->【club】-->【domain】-->【www】
任一段的委派就是轉換一台DNS Server，由ICANN的DNS Server知道tw在哪裡，接下來找到台網的DNS，一次找到Club(台固)的DNS，在台固的DNS會紀錄domain在哈拉家的DNS，再到哈拉家找到www的主機所在IP。電腦查完之後會紀錄在本機上Cache起來，當然通常我們是適用外部的DNS，例如168.95.1.1，或是我們自己架一台DNS，而這台DNS的資料也是要找另一台來複製，所以還是設定在168.95.1.1。
所以我的電腦要上domain club，就會查一下本機有沒有紀錄，如果沒有就到我的DNS server查，我的DNS查不到，就到168.95.1.1查，168.95.1.1如果也沒有，如果他沒有上層，他就會由root開始往下查，最後查到哈拉家，把真正的IP傳回我的電腦。詐騙集團只要做一個類似domain club的網站，然後在剛才過程中的某一台DNS，將紀錄改成自己的IP，那查到那台DNS的人，就會連到錯誤的地方。

更嚴重的是，剛剛參與查詢工作的所有DNS都會把這筆紀錄記下來，因為下次如果有其他人問，就不用哪麼辛苦了，所以這些錯誤的紀錄，會影響到所有以後跟他查的DNS server，就這樣一路散佈下去。直到TTL到期，重新更新，但也不一定更新到新的正確資料，可能又讀到錯的。

[哈啦]

那是否至少要有一處有駭客入侵的行為發生才行？

[Ricado]

作者: 哈啦

那是否至少要有一處有駭客入侵的行為發生才行？

沒錯，所以最好不要用不知名的DNS server查詢。
駭客只要入侵註冊局、ISP、提供免費撥接的入口網站，任何一台，修改一筆紀錄，例如Yahoo的IP，那很多人可能就會被騙取Yahoo的帳號了。