Wprowadzenie do problemu / definicja
Domena najwyższego poziomu .arpa odgrywa szczególną rolę w infrastrukturze internetu i jest wykorzystywana głównie w mechanizmach reverse DNS, czyli odwrotnego mapowania adresów IP na nazwy hostów. Nie jest to przestrzeń kojarzona z publikowaniem zwykłych serwisów WWW, dlatego przez lata pozostawała poza typowym zakresem analiz związanych z phishingiem.
Najnowsze obserwacje pokazują jednak, że cyberprzestępcy zaczęli wykorzystywać .arpa jako element kampanii phishingowych. Taki model działania pozwala ukrywać prawdziwą infrastrukturę ataku, utrudniać analizę incydentów i zwiększać szansę na ominięcie części zabezpieczeń opartych na reputacji domen.
W skrócie
Badacze bezpieczeństwa zaobserwowali kampanię, w której atakujący nadużywali domen .arpa do kierowania ofiar do złośliwych stron. Mechanizm polegał na wykorzystaniu kontroli nad fragmentami reverse DNS dla przestrzeni IPv6 oraz publikowaniu rekordów A tam, gdzie zwykle oczekiwane są rekordy PTR.
W praktyce odbiorca wiadomości phishingowej nie widział klasycznej, podejrzanej domeny, lecz nietypowy ciąg reverse DNS wykorzystywany w łańcuchu przekierowań. Dodatkowo rzeczywiste pochodzenie treści było maskowane przez infrastrukturę brzegową dostawcy CDN, co utrudniało identyfikację operatorów kampanii.
- Wykorzystano przestrzeń .arpa kojarzoną z infrastrukturą techniczną, a nie phishingiem.
- Atak bazował na nietypowym użyciu rekordów DNS w delegowanej przestrzeni IPv6.
- Stosowano losowe subdomeny, aby utrudnić blokowanie na podstawie statycznych IOC.
- Równolegle obserwowano także nadużycia rekordów CNAME i legalnych subdomen.
Kontekst / historia
Przestrzeń .arpa od dawna pełni funkcję specjalną w ekosystemie DNS. Z perspektywy administratorów i systemów ochronnych jest ona naturalnie kojarzona z usługami infrastrukturalnymi, a nie z warstwą aplikacyjną internetu. To właśnie taki poziom domyślnego zaufania czyni ją atrakcyjną dla operatorów nowoczesnych kampanii phishingowych.
Opisany incydent wpisuje się w szerszy trend nadużywania wiarygodnych elementów infrastruktury. W ostatnich latach atakujący coraz częściej korzystają z przejętych subdomen, błędnie skonfigurowanych rekordów CNAME, zjawiska domain shadowing oraz legalnych usług pośredniczących, aby ukryć złośliwe zasoby i utrudnić analizę śledczą.
Takie podejście zmienia charakter phishingu. Zamiast opierać się wyłącznie na świeżo zarejestrowanych domenach o podejrzanym wyglądzie, kampanie coraz częściej wykorzystują komponenty, które na pierwszy rzut oka wydają się prawidłowe i technicznie uzasadnione.
Analiza techniczna
Kluczowym elementem ataku było wykorzystanie delegowanej przestrzeni adresowej IPv6, z którą wiąże się kontrola nad odpowiednim fragmentem reverse DNS w .arpa. W normalnym modelu taka przestrzeń służy do definiowania rekordów PTR odpowiedzialnych za odwrotne mapowanie adresów IP. W analizowanym przypadku atakujący tworzyli jednak rekordy A dla nazw reverse DNS.
To odstępstwo od typowego zastosowania ma istotne znaczenie operacyjne. Pozwala bowiem przygotować nazwę w obrębie .arpa, która nie przypomina tradycyjnej domeny phishingowej, a mimo to może funkcjonować jako aktywny element infrastruktury wykorzystywanej w kampanii. Taki adres może następnie stać się częścią sekwencji przekierowań prowadzących ofiarę do fałszywej strony logowania.
Badacze wskazali również, że atakujący generowali losowe subdomeny poprzedzające właściwą nazwę reverse DNS. Dzięki temu każda fala wiadomości mogła wykorzystywać inny pełny adres FQDN, co znacząco osłabia skuteczność prostych mechanizmów blokowania opartych na pojedynczych wskaźnikach kompromitacji.
Dodatkową warstwą ukrycia było wykorzystanie infrastruktury edge dostawcy CDN. W praktyce analizowane nazwy reverse DNS rozwiązywały się do adresów należących do zaufanej sieci pośredniczącej, przez co zespoły bezpieczeństwa mogły widzieć jedynie warstwę frontową, a nie rzeczywiste miejsce hostowania złośliwej zawartości.
Równolegle odnotowano także nadużycia przejętych rekordów CNAME oraz legalnych subdomen należących do prawdziwych organizacji. W części przypadków chodziło o domain shadowing, czyli tworzenie kontrolowanych przez atakującego subdomen w obrębie prawidłowych domen, często po wcześniejszym przejęciu dostępu do panelu zarządzania DNS.
Konsekwencje / ryzyko
Z punktu widzenia obrony jest to szczególnie niebezpieczny scenariusz, ponieważ wykorzystuje przestrzeń domenową rzadko kojarzoną z phishingiem. To oznacza, że część reguł heurystycznych, polityk reputacyjnych i uproszczonych filtrów może nie traktować takich odwołań jako podejrzanych.
Ryzyko rośnie również dlatego, że kampania opiera się na legalnych mechanizmach DNS oraz zaufanych usługach pośredniczących. W efekcie ruch złośliwy może zlewać się z prawidłowym ruchem sieciowym, co utrudnia zarówno automatyczną detekcję, jak i ręczną analizę incydentu przez zespoły SOC.
Najważniejsze konsekwencje dla organizacji obejmują:
- wyższe ryzyko kradzieży poświadczeń użytkowników,
- utrudnione wykrywanie kampanii na podstawie samych IOC,
- większą wiarygodność adresów używanych w wiadomościach phishingowych,
- możliwość ukrywania rzeczywistej infrastruktury za usługami CDN i reverse proxy,
- zwiększone ryzyko dalszego przejęcia kont, sesji i dostępu do systemów wewnętrznych.
Dla operatorów DNS i dużych środowisk firmowych oznacza to potrzebę ponownej oceny polityk walidacji rekordów, kontroli delegacji reverse DNS oraz monitorowania zmian w konfiguracji stref.
Rekomendacje
Organizacje powinny rozszerzyć monitoring DNS o wykrywanie anomalii związanych z nietypowym wykorzystaniem .arpa. Szczególnie istotne jest identyfikowanie sytuacji, w których nazwy reverse DNS są używane w sposób niezgodny z ich standardowym przeznaczeniem lub pojawiają się jako element łańcucha przekierowań w kampaniach e-mailowych.
W praktyce warto wdrożyć następujące działania:
- przegląd reguł filtrowania poczty i sandboxingu URL pod kątem odwołań do przestrzeni .arpa,
- monitorowanie zmian w rekordach CNAME, delegacjach DNS i nowych subdomenach tworzonych poza standardowym procesem zmian,
- włączenie silnego uwierzytelniania do paneli administracyjnych DNS,
- ograniczenie dostępu do zarządzania strefami wyłącznie dla kont uprzywilejowanych i zaufanych lokalizacji,
- tworzenie reguł korelacyjnych dla losowych subdomen, nietypowych FQDN i wieloetapowych przekierowań,
- analizę ruchu HTTP i HTTPS przechodzącego przez zaufane usługi pośredniczące, jeśli wcześniej pojawiły się sygnały phishingowe w warstwie DNS lub poczty.
Nie można też pomijać użytkowników końcowych. Szkolenia antyphishingowe powinny uwzględniać, że podejrzany adres nie zawsze będzie wyglądał jak nowa, źle napisana domena. Coraz częściej atak wykorzystuje elementy infrastruktury, które sprawiają wrażenie technicznych i wiarygodnych.
Podsumowanie
Nadużycie domeny .arpa pokazuje, że phishing staje się coraz bardziej zaawansowany i coraz częściej sięga po zaufane warstwy infrastruktury internetu. Łączenie manipulacji rekordami DNS, użycia losowych subdomen, przejętych CNAME oraz ukrywania treści za infrastrukturą edge znacząco utrudnia wykrywanie i analizę takich operacji.
Dla obrońców to wyraźny sygnał, że tradycyjne podejście oparte wyłącznie na listach IOC przestaje wystarczać. Skuteczna ochrona wymaga dziś analizy behawioralnej zmian w DNS, monitorowania nietypowych łańcuchów przekierowań oraz lepszej kontroli nad zarządzaniem domenami i strefami DNS.
Źródła
- SecurityWeek — Internet Infrastructure TLD .arpa Abused in Phishing Attacks — https://www.securityweek.com/internet-infrastructure-tld-arpa-abused-in-phishing-attacks/