¿Qué es el DNS Spoofing?

¿Qué es un ataque de DNS Spoofing?

Un ataque de DNS Spoofing ocurre cuando el atacante se hace pasar por un servidor DNS y envía respuestas a consultas DNS que son diferentes a las enviadas por el servidor legítimo.

El atacante puede enviar cualquier respuesta que desee a la consulta del usuario, incluyendo direcciones IP falsas para hosts u otro tipo de información falsa. Esto podría utilizarse para dirigir a un usuario a un sitio web diseñado para parecerse a otro sitio web o para proporcionar información falsa sobre servicios en la red.

En resumen, un atacante podría engañar a un usuario para que visite un sitio web dañino sin que lo sepa. El DNS Spoofing se refiere a cualquier intento de alterar los registros DNS devueltos a un usuario y redirigirlos a un sitio web malicioso.

Puede utilizarse para una variedad de propósitos maliciosos, incluyendo:

• Distribución de malware, ransomware y estafas de phishing
• Recolección de información de usuarios
• Facilitación de otros tipos de cibercrimen.

¿Cómo funciona el DNS Spoofing?

El servidor DNS convierte los nombres de dominio en direcciones IP para que las personas puedan conectarse a los sitios web. Si un hacker quiere enviar a los usuarios a sitios maliciosos, primero tendrá que cambiar la configuración de DNS. Esto se puede hacer explotando debilidades en el sistema o mediante ataques de fuerza bruta, donde los hackers prueban miles de combinaciones diferentes hasta encontrar una que funcione.

Paso 1 – Reconocimiento

El primer paso en un ataque exitoso es el reconocimiento: obtener la mayor cantidad de información posible sobre el objetivo. Un hacker estudiará el modelo de negocio, la estructura de la red de empleados y las políticas de seguridad para saber qué tipo de información deben solicitar y cómo pueden obtenerla.

Paso 2 – Acceso

Una vez que hayan recopilado suficiente información sobre su objetivo, intentarán acceder al sistema explotando vulnerabilidades o utilizando métodos de fuerza bruta. Una vez que tengan acceso, pueden instalar malware en el sistema para permitirles monitorear el tráfico y extraer datos sensibles. El atacante puede enviar paquetes que parecen provenir de computadoras legítimas, lo que hará que parezca que provienen de otro lugar.

Paso 3 – Ataque

Cuando el servidor de nombres recibe estos paquetes, los almacenará en su caché y los utilizará la próxima vez que alguien lo consulte para obtener esta información. Cuando los usuarios autorizados intenten acceder a un sitio web autorizado, serán redirigidos a un sitio no autorizado en su lugar.

Métodos de DNS Spoofing

Existen varias formas en las que un atacante puede llevarlo a cabo, pero todas dependen de engañar al ordenador del usuario para que utilice un servidor DNS alternativo. Esto permite al atacante secuestrar las solicitudes y enviarlas al sitio web que deseen.

1. Ataques de Hombre en el Medio (MITM)

El ataque de DNS spoofing más común se llama ataque de hombre en el medio (MITM). El atacante intercepta la comunicación de correo electrónico entre dos servidores SMTP para leer todo el tráfico de Internet en este tipo de ataque. Luego, intercepta su solicitud de resolución de nombres de dominio y la envía a través de su red en lugar de la real. Pueden responder con cualquier dirección IP que deseen, incluso una que pertenezca a un sitio de phishing.

2. Envenenamiento de Caché DNS

El atacante utiliza una botnet o dispositivo comprometido en su red para enviar respuestas falsas a las consultas DNS, envenenando la caché local con información incorrecta. Esto se puede usar para secuestrar sistemas de nombres de dominio (DNS) y ataques de hombre en el medio.

3. Secuestro de DNS

El atacante cambia su dirección IP para parecer como si fuera el servidor de nombres autoritativo para un nombre de dominio. Luego pueden enviar respuestas DNS falsificadas a un cliente que solicita información sobre este dominio, dirigiéndolo hacia una IP controlada por el atacante en lugar de utilizar correctamente los servidores DNS públicos. Este ataque es más común contra clientes que no han implementado medidas de seguridad en sus routers o firewalls.

Cómo Prevenir el DNS Spoofing

Implementar Mecanismos de Detección de DNS Spoofing

DNSSEC es una de las soluciones propuestas para este problema. DNSSEC es una extensión para DNS que proporciona autenticación e integridad para los registros y proporciona datos no autoritativos de los servidores DNS. Asegura que las respuestas no sean manipuladas durante la transmisión. También proporciona confidencialidad para el tráfico de datos entre clientes y servidores, por lo que solo aquellos con credenciales válidas pueden descifrarlo.

Realizar Filtrado Exhaustivo del Tráfico DNS

El filtrado del tráfico DNS es el proceso de inspeccionar todo el tráfico entrante y saliente en su red. Esto le permite bloquear cualquier actividad sospechosa que ocurra en su red. Puede hacerlo utilizando un firewall u otro software de seguridad que ofrezca esta funcionalidad.

Aplicar Regularmente Parches a los Servidores DNS

Aplicar actualizaciones de seguridad a sistemas operativos, aplicaciones y bases de datos regularmente.

Utilizar una Red Privada Virtual (VPN)

Si no tiene acceso a una conexión HTTPS, utilice una VPN. Una VPN crea un túnel cifrado entre su computadora y el sitio web o servicio al que está accediendo. Debido a que cifran el tráfico en ambas direcciones, impiden que los ISP vean qué sitios web está visitando y qué datos está enviando o recibiendo.

Utilizar Firewalls

Instalar un firewall en cada sistema que se conecte a Internet. Un firewall bloqueará todas las conexiones entrantes que no hayan sido explícitamente permitidas por el administrador de la red.

Utilizar MTA-STS

Puede usar MTA-STS para mitigar el DNS spoofing. Las entradas guardadas en el archivo de política de MTA-STS, descargadas a través de HTTPS, se comparan con los registros MX de su MTA consultados a través de DNS. Los MTA también almacenan en caché los archivos de política de MTA-STS, lo que dificulta más la ejecución de un ataque de DNS spoofing.

Puedes monitorear y resolver problemas de entregabilidad habilitando TLS-RPT, permitiendo que los receptores envíen informes de TLS sobre SMTP a tu dirección de correo electrónico. Esto te ayudaría a mantenerte al tanto de problemas con una conexión no cifrada. 

Habilitar el Registro y Monitoreo de Consultas DNS

Habilitar el registro y monitoreo de consultas DNS para poder rastrear cualquier cambio no autorizado realizado en sus servidores DNS.