Il domain fluxing, noto anche come Fast Flux, \u00e8 una tecnica utilizzata per modificare rapidamente gli indirizzi IP associati a un nome di dominio al fine di eludere il rilevamento, aumentare la resilienza alle rimozioni e mantenere costante la disponibilit\u00e0 di servizi online dannosi o altrimenti indesiderati. Questa pratica viene comunemente utilizzata dai criminali informatici per ospitare siti Web dannosi, distribuire malware e lanciare attacchi di phishing.<\/p>\n
Il flusso di domini \u00e8 emerso per la prima volta all\u2019inizio degli anni 2000 come risposta agli sforzi compiuti dai professionisti della sicurezza informatica per inserire nella lista nera e bloccare i siti Web dannosi in base ai loro indirizzi IP. La tecnica ha acquisito importanza poich\u00e9 i criminali informatici cercavano modi per prolungare la durata della loro infrastruttura dannosa ed evitare il rilevamento da parte di soluzioni di sicurezza.<\/p>\n
La prima menzione nota del flusso di dominio risale al 2007, quando la botnet Storm Worm sfrutt\u00f2 la tecnica per mantenere la propria infrastruttura di comando e controllo. L\u2019uso del flusso di dominio ha permesso alla botnet di cambiare continuamente le sue posizioni di hosting, rendendo difficile per i ricercatori e le autorit\u00e0 di sicurezza chiuderla efficacemente.<\/p>\n
Il flusso di domini \u00e8 essenzialmente una tecnica di evasione basata su DNS. I siti web tradizionali hanno un'associazione statica tra il nome di dominio e l'indirizzo IP, il che significa che il nome di dominio punta a un indirizzo IP fisso. Al contrario, il flusso di dominio crea un'associazione in continua evoluzione tra un nome di dominio e pi\u00f9 indirizzi IP.<\/p>\n
Invece di avere un indirizzo IP collegato a un nome di dominio, il flusso di dominio configura pi\u00f9 indirizzi IP e modifica frequentemente i record DNS, facendo s\u00ec che il dominio si risolva in diversi indirizzi IP a intervalli rapidi. La frequenza del flusso pu\u00f2 essere frequente anche ogni pochi minuti, rendendo estremamente difficile per le soluzioni di sicurezza tradizionali bloccare l'accesso all'infrastruttura dannosa.<\/p>\n
Il flusso dei domini implica che pi\u00f9 componenti lavorino insieme per ottenere il suo comportamento dinamico ed evasivo. I componenti chiave sono:<\/p>\n
Botnet o infrastruttura dannosa:<\/strong> La tecnica del domain fluxing viene comunemente utilizzata insieme a botnet o altre infrastrutture dannose che ospitano contenuti o servizi effettivamente dannosi.<\/p>\n<\/li>\n Registratore di domini e configurazione DNS:<\/strong> I criminali informatici registrano un nome di dominio e impostano i record DNS, associando pi\u00f9 indirizzi IP al dominio.<\/p>\n<\/li>\n Algoritmo di flusso dei domini:<\/strong> Questo algoritmo determina la frequenza con cui vengono modificati i record DNS e la selezione degli indirizzi IP da utilizzare. L'algoritmo \u00e8 spesso controllato dal server di comando e controllo della botnet.<\/p>\n<\/li>\n Server di comando e controllo (C&C):<\/strong> Il server C&C orchestra il processo di flusso del dominio. Invia istruzioni ai bot nella botnet, indicando loro quali indirizzi IP utilizzare per il dominio a intervalli specifici.<\/p>\n<\/li>\n Bot:<\/strong> Le macchine compromesse all'interno della botnet, controllate dal server C&C, sono responsabili dell'avvio di query DNS e dell'hosting del contenuto dannoso.<\/p>\n<\/li>\n<\/ol>\n Quando un utente tenta di accedere al dominio dannoso, la sua query DNS restituisce uno dei molteplici indirizzi IP associati al dominio. Poich\u00e9 i record DNS cambiano rapidamente, l\u2019indirizzo IP visto dall\u2019utente continua a cambiare, rendendo difficile bloccare in modo efficace l\u2019accesso al contenuto dannoso.<\/p>\n Il flusso di domini possiede diverse caratteristiche chiave che lo rendono una tecnica preferita dagli autori malintenzionati:<\/p>\n Evasione del rilevamento:<\/strong> Cambiando costantemente gli indirizzi IP, il flusso di domini elude le tradizionali liste nere basate su IP e i sistemi di rilevamento basati sulla firma.<\/p>\n<\/li>\n Alta resilienza:<\/strong> La tecnica garantisce un'elevata resilienza agli sforzi di rimozione, poich\u00e9 la chiusura di un singolo indirizzo IP non interrompe l'accesso al servizio dannoso.<\/p>\n<\/li>\n Disponibilit\u00e0 continua:<\/strong> Il flusso dei domini garantisce la disponibilit\u00e0 continua dell'infrastruttura dannosa, assicurando che le operazioni della botnet possano continuare senza interruzioni.<\/p>\n<\/li>\n Ridondanza:<\/strong> Pi\u00f9 indirizzi IP fungono da posizioni di hosting ridondanti, garantendo che il servizio dannoso rimanga accessibile anche se alcuni indirizzi IP vengono bloccati.<\/p>\n<\/li>\n<\/ol>\n Il flusso di domini pu\u00f2 essere classificato in due tipi principali: Flusso unico<\/strong> E Doppio flusso<\/strong>.<\/p>\n In Single Flux, il nome di dominio si risolve continuamente in un insieme mutevole di indirizzi IP. Tuttavia, il server dei nomi autorevole del dominio rimane costante. Ci\u00f2 significa che i record NS (Name Server) per il dominio non cambiano, ma i record A (Address), che specificano gli indirizzi IP, vengono aggiornati frequentemente.<\/p>\n Double Flux porta la tecnica di evasione un ulteriore passo avanti modificando costantemente sia gli indirizzi IP associati al dominio sia il server dei nomi autorevole del dominio. Ci\u00f2 aggiunge un ulteriore livello di complessit\u00e0, rendendo ancora pi\u00f9 difficile tracciare e interrompere l\u2019infrastruttura dannosa.<\/p>\n Utilizzo del flusso di domini:<\/strong><\/p>\n Distribuzione del malware:<\/strong> I criminali informatici utilizzano il flusso di dominio per ospitare siti Web che distribuiscono malware, come trojan, ransomware e spyware.<\/p>\n<\/li>\n Attacchi di phishing:<\/strong> I siti Web di phishing progettati per rubare informazioni sensibili come credenziali di accesso e dettagli della carta di credito spesso utilizzano il flusso di dominio per evitare di essere inseriti nella lista nera.<\/p>\n<\/li>\n Infrastruttura C&C botnet:<\/strong> Il flusso di dominio viene utilizzato per ospitare l'infrastruttura di comando e controllo delle botnet, consentendo la comunicazione e il controllo sulle macchine compromesse.<\/p>\n<\/li>\n<\/ol>\n Problemi e soluzioni:<\/strong><\/p>\n Falsi positivi:<\/strong> Le soluzioni di sicurezza potrebbero bloccare inavvertitamente siti Web legittimi a causa della loro associazione con indirizzi IP variabili. Le soluzioni dovrebbero utilizzare tecniche di rilevamento pi\u00f9 avanzate per evitare falsi positivi.<\/p>\n<\/li>\n Infrastruttura in rapida evoluzione:<\/strong> Le tradizionali procedure di rimozione sono inefficaci contro il flusso di domini. La collaborazione tra le organizzazioni di sicurezza e i meccanismi di risposta rapida sono essenziali per contrastare efficacemente tali minacce.<\/p>\n<\/li>\n DNS sinkholing:<\/strong> Il sinkholing di domini dannosi pu\u00f2 interrompere il flusso dei domini. I fornitori di sicurezza possono reindirizzare il traffico da domini dannosi a sinkhole, impedendo loro di raggiungere l\u2019effettiva infrastruttura dannosa.<\/p>\n<\/li>\n<\/ol>\n Ecco un confronto tra il Domain Fluxing e altre tecniche correlate:<\/p>\nAnalisi delle caratteristiche principali del Domain Fluxing.<\/h2>\n
\n
Tipi di flusso di domini<\/h2>\n
Flusso unico<\/h3>\n
Doppio flusso<\/h3>\n
Modi di utilizzo Fluxing di domini, problemi e relative soluzioni legati all'utilizzo.<\/h2>\n
\n
\n
Caratteristiche principali e altri confronti con termini simili sotto forma di tabelle ed elenchi.<\/h2>\n