Suplantación de DNS

¿Qué es la suplantación de DNS?

La suplantación del Sistema de Nombres de Dominio (DNS), también conocida como envenenamiento de la caché DNS, es un ciberataque en el que se interceptan y alteran los registros o la comunicación DNS para dirigir a los usuarios a una dirección IP diferente.

En un ataque de suplantación de identidad, el tráfico procedente de servidores legítimos se desvía a sitios fraudulentos que pueden parecerse al sitio válido al que el usuario final estaba intentando llegar. Estos ataques pueden producirse a la perfección sin dar ninguna indicación al usuario de lo que está ocurriendo.

Cuando el usuario llega al sitio falso, es posible que se le pida que introduzca sus credenciales de inicio de sesión o que revele datos confidenciales como los de su tarjeta de crédito, números de cuentas bancarias e información de la Seguridad Social.

A continuación, los atacantes pueden utilizar esta información para robar dinero, datos e identidades, o acceder a las redes corporativas para lanzar otros ataques.

Una vez que se ha suplantado un registro DNS, el ciberatacante puede instalar gusanos o virus en el ordenador de un usuario, lo que le da acceso sin restricciones a los datos proporcionados.

¿Cómo funciona la suplantación de DNS?

Para entender completamente cómo funciona la suplantación de DNS, es útil tener una comprensión de cómo Internet dirige a los usuarios a los sitios web.

Cada servidor tiene su propia huella digital única llamada dirección de protocolo de Internet (IP) que se compone de una serie de números. Cada dirección IP se asigna a un nombre de dominio correspondiente(www.example.com) que dirija correctamente a los usuarios al sitio web.

Para falsificar un DNS, los ciberatacantes encuentran y aprovechan los puntos débiles de este proceso para redirigir el tráfico a una dirección IP ilegítima y a un sitio web falso.

3 métodos diferentes de envenenamiento de la caché DNS

Existen varios tipos de suplantación de DNS, pero tres de los más comunes son:

- Engaño Man-in-the-middle: El atacante se interpone entre su navegador y el servidor DNS para infectar a ambos utilizando una herramienta para envenenar de forma sincrónica su dispositivo local y el servidor DNS. El resultado es una redirección a un sitio malicioso alojado en el servidor local del atacante.

- Envenenamiento de la caché DNS por spam: Las direcciones URL incluidas en los correos electrónicos de spam y en los banners publicitarios de sitios web poco fiables se ven comprometidas con un virus. Cuando el usuario hace clic en la URL, su ordenador se infecta con el virus localizado en la URL maliciosa. Una vez infectado, el dispositivo del usuario se dirigirá a sitios web falsos que parecen reales.

- Secuestro del servidor DNS: El ciberatacante reconfigura el servidor para dirigir cualquier tráfico al dominio suplantado.

Los peligros de la suplantación de DNS

Los ataques DNS representan el 91% de los ataques de malware, y una de cada 13 peticiones web conduce a malware.

Los riesgos incluyen:

- Robo de datos

- Infección por malware

- Censura

- Actualizaciones de seguridad detenidas que pueden exponer su dispositivo a amenazas adicionales.

A pesar de los peligros de la suplantación de DNS y otras actividades maliciosas, la mayoría de las organizaciones no supervisan en absoluto su actividad DNS. Sin embargo, el aumento de la suplantación de DNS y otros ataques relacionados con DNS deja claro que las organizaciones deben desplegar soluciones anti-spoofing, así como tecnología de supervisión que proporcione información sobre lo que está sucediendo en la capa DNS.  

Cómo funciona la seguridad web

Cuando un usuario inicia una solicitud de acceso a Internet introduciendo una dirección en el navegador o haciendo clic en un enlace de un correo electrónico o un sitio web, se reenvía una solicitud DNS al servicio de seguridad web deMimecast . A medida que Mimecast inspecciona y resuelve la solicitud DNS, las políticas de uso aceptable establecidas por la organización se aplican a la solicitud, bloqueando el acceso a contenidos que se consideran inapropiados para el uso empresarial. Al mismo tiempo, se escanea el sitio web de destino en busca de contenido malicioso. Si se determina que el sitio es seguro, se concede acceso inmediato al usuario. Pero si se considera que el sitio es sospechoso o malicioso, Mimecast bloquea el acceso al sitio y se notifica al usuario mediante un mensaje en el navegador el motivo.

Ejemplos de suplantación de DNS & Ataques de envenenamiento de caché DNS

Los ciberatacantes emplean continuamente tácticas más sofisticadas para llevar a cabo la suplantación de DNS. Aunque puede que no haya dos ataques iguales, un escenario de suplantación de DNS podría tener este aspecto:

1. El atacante intercepta la comunicación entre un cliente y un ordenador servidor perteneciente al sitio web objetivo.

2. Utilizando una herramienta como arpspoof, el atacante puede engañar tanto al cliente como al servidor para que sigan direcciones IP maliciosas que dirijan al servidor del atacante.

3. El atacante crea un sitio web falso al que la dirección IP maliciosa dirigirá a los usuarios en un intento de obtener información sensible.