Descripcion de la Tecnica
DNS es una técnica de ataque en el marco MITRE ATT&CK (T1590.002) que implica la recolección de información relacionada con los registros DNS de una víctima. Los adversarios pueden utilizar datos como servidores DNS registrados, registros de subdominios, servidores de correo (MX), registros TXT y SPF para identificar recursos críticos de una organización. Esta información puede ser utilizada para planificar ataques posteriores, como la infección de sistemas o el robo de credenciales.
Como Funciona
Los atacantes pueden realizar consultas DNS para extraer detalles sobre la infraestructura de una organización. Por ejemplo, los registros MX revelan servidores de correo, mientras que los registros SPF proporcionan información sobre proveedores de servicios en la nube (como Office 365 o G Suite). Este proceso permite a los adversarios mapear la red de la víctima y priorizar objetivos para ataques más específicos.
Actores que la Utilizan
Esta técnica está documentada en MITRE ATT&CK como un patrón de ataque. Aunque no se especifican actores particulares en el contexto proporcionado, es una práctica común utilizada por amenazas cibernéticas avanzadas para obtener información sensible durante operaciones de infracción.
Deteccion
La detección implica monitorear consultas DNS anormales, como solicitudes a dominios no registrados o frecuentes consultas a proveedores de servicios en la nube. Herramientas de análisis DNS o sistemas SIEM pueden ayudar a identificar patrones sospechosos. Además, el monitoreo de registros DNS para anomalías en MX, TXT o SPF puede revelar actividad maliciosa.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigacion
Para mitigar este tipo de ataques, se recomienda: - Configurar servidores DNS con restricciones estrictas para limitar el acceso. - Implementar filtrado DNS para bloquear dominios sospechosos o no registrados. - Monitorear registros DNS en busca de patrones anómalos. - Asegurar que los proveedores de servicios en la nube (como Office 365) estén configurados con políticas de seguridad robustas.