[lacnog] Utilización de DoH como canal encubierto para controlar Malware

Dom Sep 6 18:29:17 GMT+3 2020

Hola a tod en s, buenas tardes.

Espero esten muy bien, asi como sus familias y amistades.

Nico, gracias por traer DoH de vuelta al ruedo, esta vez con algo mas de analisis en ese paper que nos compartes, y que luego Carlos estuvo desglosando un poco, y Fernando agrego tambien.

La cuestion en si, es que cada vez es mas fina e indiscernible, la linea entre privacidad y seguridad. Por tanto, es bastante facil cometer “abusos” en uno y otro terreno, tratando de garantizar seguridad o privacidad, según interese.

Sin embargo, lo que veo en este caso en particular de Mozilla, es que la solución que dieron, crea problemas mas grandes que los que intentó resolver.  No puedes pretender garantizar la privacidad del trafico de DNS de los usuarios, enviandolo de forma automatica y anonima hacia un sitio de terceros (seleccionados unilateralmente); que aunque supongamos sean los mas buenos y transparentes del planeta, nunca firmaron (ni firmaran) un acuerdo de confidencialidad con los usuarios cuya privacidad se trata de ayudar a proteger con esto. 

De igual forma, al implementar esto, terminan alterandose diseños operativos en las organizaciones que legitimamente tienen contrato con los usuarios, y que ademas pueden tener repercusiones tanto en el acceso a contenidos (cuando se trabaja con vistas, balanceadores, etc) como en problemas relacionados con las normativas de seguridad que existan en el pais donde se encuentre dicho usuario. 

Si por demas, abre opciones geniales para los atacantes como ya nos queda ilustrado (y que posiblemente muchas organizaciones ya esten sufriendo)… pues creo que habria que pensar bien el alcance y el empleo de estas tecnologias, antes de implementarlas, y si se hace, creo que tiene que ser de manera consciente. La idea del post era emplear DoH para ayudar a controlar el Malware; pero si quien recibe el DoH no me muestra esa informacion (ni mis herramientas de seguridad la pueden usar), simplemente lo que esta logrando esto es favorecer a los atacantes. 

Coincido contigo Nico, en que para el sector corporativo esto es muy poco recomendable, y en el sector residencial, el 95% de los usuarios (para ser conservador) no esta ni siquiera pendiente de si le mandan las consultas de DNS a Google o a su ISP o a cualquier otra organizacion. Simplemente les importa poder acceder a los servicios que les gusta y punto. 

Por tanto, me parece que este procedimiento de Mozilla no es nada etico, y ciertamente no va a soluconar mayores problemas de privacidad (según enienden los usuarios); pero abre una puerta bastante oscura a la recoleccion de datos “de forma forzada” de usuarios de todo el mundo, que pueden tener muchos usos; en los que la privacidad de los usuarios va a terminar siendo violentada de formas insospechadas. 

Como opcion tecnologica para quienes la quiera usar de forma consciente, me parece bien (como tantas opciones que existen en todas las aplicaciones y servicios que rara vez se usan); pero forzar su uso, sin siquiera alertar a los usuarios, fatal. En teoria la habilitacion de DoH en Mozilla iba a ser automatico solo en USA. En Europa imagino se cuiden por cuenta de GDPR; pero que creen que pase en nuestra región?

Saludos,

Jorge

De: LACNOG <lacnog-bounces en lacnic.net> en nombre de "Carlos M. Martinez" <carlosm3011 en gmail.com>
Responder a: Latin America and Caribbean Region Network Operators Group <lacnog en lacnic.net>
Fecha: viernes, 4 de septiembre de 2020, 5:55 p. m.
Para: Latin America and Caribbean Region Network Operators Group <lacnog en lacnic.net>
CC: Latin America and Caribbean Region Network Operators Group <lacnog en lacnog.org>
Asunto: Re: [lacnog] Utilización de DoH como canal encubierto para controlar Malware

Hola a todos,

Si yo entiendo bien este escenario, en realidad lo que hizo Mozilla de cambiar el default de hacia dónde van las consultas DNS (con lo que discrepó totalmente) es solamente una capa mas en una ataque ya de por si complejo.

El registro dns que se ve en el articulo sigue pudiendo ser consultado incluso por “ye olde" plain text DNS
$ dig txt dmarc.jqueryupdatejs.com

; <<>> DiG 9.10.6 <<>> txt dmarc.jqueryupdatejs.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 19013
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;dmarc.jqueryupdatejs.com.    IN    TXT

;; ANSWER SECTION:
dmarc.jqueryupdatejs.com. 38400    IN    TXT    "v=DKIM1; k=rsa; p=/NkBspI4LG64/nlEJ5sKjBiKA2L0Oi0B/TVRRNE5ESXpPRFk0T0E9PQ/mvYI54xdsqEmW/TVRRNE5ESXpPRFk0Tnc9PQ/TWpNNE9ETTN/TWpNNE9ETTNNVGszTkE9PQ/mvYI54xdsqEmW/TWpNNE9ETTNNakUwTXc9PQ/+ENwGoMUg9feAaD9qyw7KUEysv23BHGBHxInOA2FOhTOZrNWg7DQIDAQAB"

;; Query time: 684 msec
;; SERVER: 200.7.84.14#53(200.7.84.14)
;; WHEN: Fri Sep 04 10:07:36 -03 2020
;; MSG SIZE  rcvd: 307

Aca hay casi tantas capas como en una cebolla:
el uso de un nombre de dominio que se ve inocente, como “jqueryupdatejs.com” , cualquiera diría que es el update de jQuery
el uso de DNS como covert channel. Incluso si se usa DNS plano, a menos que alguien esté minando datos de consultas DNS esto puede demorar meses y meses en ser detectado
el payload del DMARC record ya es, o al menos puede pasar como, algo cifrado normal
El DNS over HTTPS aca es una mas de esas capas, pero no es ni cerca el unico ni el mas importante de los elementos aca.

Entiendo que lo que hizo Mozilla no esta bueno, esa es otra discusión que me encantaría tuviéramos.

Abrazo y buen finde para todos.

/Carlos

On 4 Sep 2020, at 5:46, Roque Gagliano wrote:

Nico,

No hubo ni hay "discusión", Mozilla cambió el default y punto.

Roque.

On Thu, Sep 3, 2020 at 5:33 PM Nicolas Antoniello <nantoniello en gmail.com> wrote:

Estimados,

Para que lo tengan en cuenta. En este caso, los sistemas de detección de amenazas que puedan estar operando en las organizaciones no serían capaces de detectar este tipo de ataques. La forma de detectarlo sería (en principio) únicamente desde el cliente con algún mecanismo de detección de Malware o similar.

Este trata de la utilización de respuestas DNS conteniendo código para comandar y controlar un malware previamente instalado en el cliente.

Lo interesante es que al valerse de DoX se vuelve mucho más difícil su detección y por lo tanto es aprovechable por los atacantes como mecanismo para intentar evitar sistemas de detección que puedan utilizar las organizaciones.

En el artículo se menciona el hecho de que este tipo de ataques no es nuevo; así como el hecho de que esto no es un problema propio de DoX; sino que los atacantes se valen de la privacidad que provee DoX para encubrir su tráfico.

https://www.bleepingcomputer.com/news/security/attackers-abuse-google-dns-over-https-to-download-malware/

Personalmente creo que agrega una consideración interesante en la conversación sobre privacidad vs. seguridad a la hora de cada uno decidir en qué ámbitos aplicaremos cada mecanismo; así como qué medidas adicionales de seguridad (y privacidad) podemos tomar a nivel operativo para buscar protegernos mejor de este tipo de amenazas.

Saludos,

Nico

_______________________________________________
LACNOG mailing list
LACNOG en lacnic.net
https://mail.lacnic.net/mailman/listinfo/lacnog
Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog

-- 

At least I did something
Don Draper - Mad Men

_______________________________________________
LACNOG mailing list
LACNOG en lacnic.net
https://mail.lacnic.net/mailman/listinfo/lacnog
Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog

_______________________________________________ LACNOG mailing list LACNOG en lacnic.net https://mail.lacnic.net/mailman/listinfo/lacnog Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog 

------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <https://mail.lacnic.net/pipermail/lacnog/attachments/20200906/fe8db86f/attachment.html>