Cambios inesperados de servidores DNS o de registrador: primeras señales de secuestro de dominio

El secuestro de un dominio significa que alguien que no es usted obtiene el control sobre adónde apunta su dominio. Las vías más directas son cambiar los servidores de nombres, transferir el dominio a otro registrador o editar los registros DNS en la cuenta de su proveedor de DNS. Cada una de estas acciones es una operación administrativa normal, y por eso un cambio inesperado es la señal de alarma más temprana y más clara.

Quien controla su DNS puede enviar a los visitantes de su web y su correo entrante a sus propios servidores. Como controla el dominio, también puede obtener certificados TLS válidos para él, de modo que los visitantes no ven ninguna advertencia en el navegador.

La buena noticia es que estos cambios se ven desde fuera, y registradores y registros ofrecen bloqueos que los hacen mucho más difíciles de llevar a cabo.

Cómo se produce un secuestro de DNS en la práctica

En enero de 2019, CISA emitió la Emergency Directive 19-01 tras una campaña en la que los atacantes obtuvieron credenciales de cuentas capaces de modificar registros DNS. Alteraron registros A, MX y NS para desviar el tráfico web y de correo a través de una infraestructura que controlaban, y obtuvieron certificados válidos para los dominios afectados. La directiva (ya derogada) obligaba a las agencias a auditar sus registros DNS, cambiar las contraseñas de las cuentas DNS, añadir autenticación multifactor y vigilar los registros de Certificate Transparency. Esos 4 pasos siguen siendo una buena base para cualquier organización.

Los puntos de entrada habituales son:

• Un acceso comprometido al registrador o al proveedor de DNS, a menudo por una contraseña reutilizada o robada mediante phishing.
• Una cuenta de correo comprometida que recibe los mensajes de restablecimiento de contraseña del registrador.
• Ingeniería social contra el personal de soporte del registrador.
• Un dominio caducado que otra persona vuelve a registrar, tema que tratamos en qué ocurre cuando caduca su dominio.

Cómo se ve un cambio inesperado

Guarde constancia de lo que es normal para su dominio y compare:

• Servidores de nombres (NS): un cambio de su proveedor de DNS habitual a servidores desconocidos.
• Registrador: el dominio aparece ahora gestionado por un registrador que nunca ha utilizado.
• Registros A, AAAA y CNAME: su web apunta de repente a una dirección IP de una red que usted no usa.
• Registros MX: el correo pasa por un servidor que usted no ha configurado.
• Códigos de estado EPP: bloqueos de protección como clientTransferProhibited retirados sin motivo.
• Certificados nuevos: un certificado para su dominio emitido por una autoridad de certificación que usted no utiliza.

Cómo revisar su dominio usted mismo

Lea directamente los valores actuales:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short
whois example.com | grep -i -E "registrar:|name server|status"

Guarde el resultado. Ejecute los mismos comandos con regularidad y compare. Cualquier diferencia que no sepa explicar merece una pregunta inmediata a quien gestione su DNS.

En cuanto a los certificados, busque su dominio en los registros de Certificate Transparency en crt.sh y fíjese en los emisores. Consulte los registros de Certificate Transparency explicados.

Bloqueos: registrar lock y registry lock

La referencia de códigos de estado EPP de ICANN describe los estados que protegen un dominio:

• clientTransferProhibited: lo establece su registrador. El registro rechaza las solicitudes de transferir el dominio a otro registrador. Es el habitual "registrar lock" y debería estar activo en todos los dominios que no esté trasladando en ese momento.
• clientUpdateProhibited y clientDeleteProhibited: el registro rechaza modificaciones o la eliminación hasta que su registrador retire el estado.
• Registry lock: algunos operadores de registro ofrecen un servicio que establece serverUpdateProhibited, serverTransferProhibited y serverDeleteProhibited. Se fijan a nivel del registro y no en su cuenta del registrador, e ICANN señala que retirar un estado de servidor suele llevar más tiempo, que es precisamente lo que se busca. Pregunte a su registrador si está disponible para su dominio de nivel superior.

Un registrar lock por sí solo no sirve de nada si el atacante entra en su cuenta del registrador, porque puede quitarlo. Un registry lock añade un paso fuera de esa cuenta, de modo que una contraseña robada del registrador no basta.

Reforzar las cuentas que controlan el DNS

• Autenticación multifactor en las cuentas del registrador y del proveedor de DNS, preferiblemente con llave de seguridad o passkey en lugar de SMS.
• Un correo de contacto exclusivo para el registrador, en un buzón protegido con el mismo rigor que la propia cuenta del registrador.
• Pocas personas con acceso, y retirada del acceso cuando alguien se marcha.
• Un registro CAA que enumere las autoridades de certificación que utiliza, definido en el RFC 8659. Por ejemplo:

example.com.  CAA 0 issue "letsencrypt.org"

CAA no impide que un atacante que controla su DNS lo edite, pero dificulta la emisión no prevista por otras autoridades y el propio cambio del registro CAA se convierte en una señal.

Si ve un cambio que usted no ha hecho

1. Contacte con su registrador y su proveedor de DNS por un canal conocido, no a través de un enlace recibido por correo.
2. Restablezca los registros NS, A y MX correctos y vuelva a activar los bloqueos.
3. Cambie las contraseñas y restablezca la autenticación multifactor en esas cuentas y en la cuenta de correo que recibe sus avisos.
4. Revise los registros de Certificate Transparency en busca de certificados emitidos durante ese intervalo y pida a la autoridad emisora que revoque los que usted no haya solicitado.
5. Considere posiblemente expuestas las contraseñas y sesiones utilizadas en su web y su correo durante ese intervalo.

Lista de comprobación

• Referencia guardada de NS, A, MX, registrador y códigos de estado.
• Registrar lock activo y registry lock valorado.
• Autenticación multifactor en el registrador, el DNS y el buzón vinculado.
• Registro CAA publicado.
• Comparación periódica con la referencia.

Dónde encaja Datahorses

Datahorses vigila su empresa desde fuera y comprueba si cambian sus servidores de nombres, su registrador, sus registros DNS y los certificados recién emitidos. No entramos en sus sistemas ni necesitamos ningún acceso. Una persona revisa cada cambio inesperado y se lo envía con qué ha cambiado, cuándo y qué hacer primero. Consulte cómo vigilamos y qué ocurre cuando encontramos algo.