Spoofing de DNS y envenenamiento de caché

La suplantación de DNS consiste en proporcionar una respuesta DNS falsificada para que la víctima resuelva un nombre en una IP controlada por el atacante. El envenenamiento de caché es una forma específica en la que el resolvedor recursivo acepta y almacena la respuesta falsificada, infectando a todos los clientes que lo utilizan.

El objetivo suele ser redirigir el tráfico: enviar a los usuarios a páginas de phishing, descargas de malware o proxies de intermediario.

Cuando un resolvedor envía una consulta, un atacante intenta inyectar una respuesta falsificada antes de que responda el servidor autoritativo legítimo. Si la falsificación llega primero y coincide con los campos esperados, gana la carrera y se almacena en caché.

Por eso la latencia, el orden de los paquetes y el puerto de salida del resolvedor son tan importantes tanto en el ataque como en la defensa.

Para que se acepte una respuesta UDP falsificada, el atacante debe hacer coincidir:

• La IP de origen (el servidor autoritativo).
• El puerto de destino (el puerto de salida del resolvedor).
• El nombre y tipo de consulta.
• El ID de transacción (TXID) de 16 bits.

Sin protecciones, el único secreto real es el TXID, lo que ofrece aproximadamente una probabilidad de 1 entre 65.536 por paquete.

La revelación de Dan Kaminsky en 2008 demostró que el envenenamiento era mucho más fácil de lo que se pensaba. En lugar de una carrera por registro, el atacante consulta muchos subdominios inexistentes (aaa.bank.com, aab.bank.com...) y envía respuestas falsificadas que contienen un registro NS o glue malicioso para todo el dominio.

Cada intento es una carrera nueva y una consulta fallida no sufre ninguna penalización de caché, por lo que el atacante puede seguir intentándolo hasta acertar y envenenar toda la zona.

La principal mitigación posterior a Kaminsky fue la aleatorización del puerto de origen. En lugar de utilizar un puerto de salida fijo, el resolvedor elige un puerto efímero aleatorio para cada consulta.

Ahora el atacante debe adivinar tanto el TXID (16 bits) como el puerto de origen (aproximadamente 16 bits), lo que amplía el espacio de búsqueda hasta aproximadamente 2^32. Esto hace impracticable el envenenamiento ciego fuera de ruta, aunque no imposible en implementaciones con una entropía débil.

Un atacante fuera de ruta no puede ver la consulta y debe adivinar a ciegas el TXID y el puerto. Un atacante en ruta (Wi-Fi malicioso, router comprometido, ISP) puede leer directamente la consulta y crear fácilmente una respuesta coincidente.

La suplantación en ruta neutraliza por completo la aleatorización de puertos, por lo que el transporte cifrado y la validación de DNSSEC son necesarios para ofrecer garantías sólidas, no solo entropía.

Los atacantes no siempre falsifican paquetes. Un servidor DHCP malicioso puede proporcionar a los clientes la dirección de un resolvedor DNS malicioso, de modo que el atacante responda a todas las consultas. Del mismo modo, el malware puede modificar /etc/resolv.conf o la configuración del router.

Amenazas históricas como el malware DNSChanger redirigieron silenciosamente el DNS de las víctimas a servidores fraudulentos durante años. Compruebe qué resolvedores utiliza realmente su flota.

Los resolvedores aplican reglas de bailiwick: una respuesta solo puede proporcionar registros para nombres que estén dentro de la zona para la que es autoritativa. Una respuesta para bank.com no puede introducir subrepticiamente un registro para unrelated.com.

Esto limita las inyecciones al estilo Kaminsky al dominio consultado e impide que una respuesta envenenada contamine zonas no relacionadas. Verifique que su resolvedor aplique un filtrado estricto de bailiwick.

Señales de un envenenamiento en curso o ya completado:

• Un aumento repentino de consultas para subdominios aleatorios e inexistentes.
• Respuestas DNS duplicadas o fuera de orden para el mismo TXID.
• IP resueltas que de repente apuntan a ASN o ubicaciones geográficas inesperados.
• Discrepancias entre las respuestas del resolvedor y una consulta de verificación confiable realizada por otra vía.

Ningún control individual es suficiente. Combine:

• Aleatorización del puerto de origen y del TXID para aumentar el costo de los ataques fuera de ruta.
• Validación de DNSSEC para que las respuestas falsificadas fallen las comprobaciones de firma.
• DoT/DoH para impedir que los atacantes en ruta vean o manipulen las consultas.
• Codificación 0x20 (uso aleatorio de mayúsculas y minúsculas en los nombres de consulta) para añadir entropía.
• Supervisión de inundaciones de NXDOMAIN y anomalías en las respuestas.

En la práctica, el envenenamiento ciego de caché fuera de ruta es poco frecuente hoy en día en resolvedores actualizados, pero reaparece mediante canales laterales (por ejemplo, la fragmentación UDP y los ataques de inferencia de puertos basados en ICMP, como SAD DNS). Mantenga los resolvedores actualizados y prefiera aquellos con validación y transporte cifrado.

Recuerde: el compromiso de DNS con mayor impacto no suele ser una ingeniosa carrera de envenenamiento, sino una cuenta de registrador robada. Proteja ambos frentes.

La suplantación de DNS falsifica respuestas; el envenenamiento de caché las mantiene en un resolutor. La aceptación depende de que coincidan la IP de origen, el puerto, el nombre de la consulta y el TXID. La aleatorización del puerto de origen y las comprobaciones de bailiwick elevaron la dificultad para los atacantes fuera de ruta, pero los atacantes en ruta y los canales laterales siguen siendo una amenaza.

La defensa en profundidad (entropía, validación DNSSEC, transporte cifrado y monitorización) es esencial. A continuación veremos cómo los atacantes abusan del DNS para transferir datos: mediante túneles y exfiltración.