Uma vulnerabilidade ligada à navegação na rede, aparentemente solucionada no passado, parece retornar com força total. Recentemente, pesquisadores da Universidade Tsinghua e da Universidade da Califórnia identificaram uma nova técnica para potencializar o envenenamento de cache DNS, permitindo roubos de dados das vítimas e exposição dos computadores infectados a cavalos de Troia, vírus e outras ameaças.

Antes de mais nada, é necessário entender o que é o DNS e como ele funciona. Os sistemas de nomes de domínio (ou DNS, sua sigla em inglês) são responsáveis pela tradução dos nomes de domínios utilizados na barra de endereço dos navegadores (URLs) para os endereços IPs correspondentes. Seria muito mais difícil memorizar e digitar “216.58.210.163” ao invés de “www.google.com”, por exemplo.

Ao navegar por um site, o endereço IP do domínio é armazenado em cache no seu dispositivo. Ou seja, se você já acessou o site do Olhar Digital, em sua próxima visita, não será necessária outra pesquisa DNS — tendo em vista que o computador ou navegador de web já saberá o endereço correto.

Mas, e se o cache DNS retornasse um endereço de IP falso, cujo domínio não fosse correspondente ao site original? É isso que o envenenamento de cache DNS faz.

Retorno do “SAD DNS”

Em 2008, o pesquisador Dan Kaminsky já havia reconhecido a possibilidade de alguém se passar por um servidor autoritativo e usar o DNS para retornar resultados maliciosos aos resolvedores — configurando ataques que ficaram conhecidos como “SAD DNS” (abreviação de side channel attacked DNS, em inglês).

Reprodução

Nova onda de ataques SAD DNS podem ressurgir com métodos descobertos por pesquisadores. Foto: Kavaleuskaya Aksana/Shutterstock

Como existem “apenas” 65.536 IDs de transações possíveis, um invasor poderia explorar a limitação com pequenas alterações (como 1.google.com, 2.google.com) e incluir um ID de transação diferente para cada resposta. Eventualmente, o criminoso conseguiria reproduzir o número correto e o domínio malicioso seria transmitido para os usuários que dependiam do resolvedor, mas a randomização das portas utilizadas para as pesquisas foram adotadas pelos provedores de DNS, dificultando a vida para os invasores.

No entanto, o novo método que viabiliza o envenenamento de cache DNS explora justamente um canal lateral capaz de identificar o número da porta usada em uma solicitação de pesquisa, permitindo que a técnica descoberta por Kaminsky seja novamente utilizada.

Como funciona a nova técnica

Utilizando o limite de taxa para ICMP (Internet Control Message Protocol), a nova técnica de spoofing inunda um resolvedor de DNS com um grande número de respostas, que são falsificadas para darem a impressão de serem originadas do servidor de domínio que desejam personificar.

Com isso, caso o invasor investigar 1.000 portas e uma delas estiver aberta, o limite será drenado para 999, dando a certeza de que uma dessas portas sondadas será a “correta”. E uma vez identificado o número da porta, as chances de adivinhar o ID de transação aumenta consideravelmente.

“Este é um dos ataques de envenenamento de cache DNS mais eficazes que vimos desde o ataque de Kaminsky. É algo que, se você executar um resolvedor DNS, deverá levar a sério”, afirma Nick Sullivan, chefe de pesquisa da Cloudflare.

Reprodução

Dados e contas salvas no dispositivo das vítimas podem ficar vulneráveis em caso de acessos aos sites maliciosos. Foto: Rawpixel

Os riscos são praticamente os mesmos dos métodos de phishing. Ao navegar em um domínio malicioso acreditando que o site seja o original, os usuários podem ter senhas e contas expostas, bem como deixar seus dispositivos vulneráveis a vírus e outras infecções.

Correções

Após a descoberta, os pesquisadores forneceram privadamente suas informações para provedores de DNS e desenvolvedores de software.

Em resposta, os desenvolvedores do kernel Linux alteraram aleatoriamente o limite da taxa para 500 e 2.000 por segundo, enquanto a Cloudfare optou por introduzir uma correção própria.

Como em certos casos o serviço DNS do usuário voltará ao TCP, garantidor da transmissão de dados na íntegra, a nova técnica dificilmente funcionará — já que o Protocolo de Controle de Transmissão é muito mais difícil de ser falsificado.

Via: ARS Technica