В российской ИТ-сфере нашествие «зомби-доменов». Ущерб исчисляется сотнями миллионов

Закрыл и забыл. Так не работает

Эксперты обнаружили у каждой второй российской компании забытые или перехваченные третьими лицами домены, еще около 37% компаний раскрывали сведения о партнерах в именах субдоменов, внутренних инструкциях или других документах, доступных третьим лицам. Анализ ситуации на основе данных, полученных от 130 российских компаний из сфер образования, консалтинга и ИТ, провели специалисты ГК Softline. CNews ознакомился с выводами исследователей.

В рамках исследования эксперты ГК Softline использовали информацию, предоставленную самими заказчиками, а также данные, полученные с помощью методов разведки открытых и закрытых источников. На основе совокупности этих данных был проведен анализ, который позволил выявить основные тенденции и понять, что происходит с забытыми и скомпрометированными доменами и как их используют злоумышленники против компаний.

Эксперты заявили о росте числа «зомби-доменов»

По оценкам Softline риски обзавестись проблемными доменами характерны для компаний из любой сферы. Перехваченный ресурс злоумышленники используют для создания сайтов, связанных с компанией, проведения фишинговых кампаний и целевых атак. Это позволяет обмануть сотрудников или партнеров, получить их учетные данные и использовать их для дальнейших атак на корпоративную инфраструктуру, полагают в Softline.

Эксперты, опрошенные CNews, подтвердили тенденцию, связанную с ростом числа «зомби-доменов» (так называют заброшенные, но продолжающие существовать и собирать трафик веб-адреса сайтов).

Тенденция подтверждается при проведении внешних пентестов, а также использовании DRP (Digital Risk Protection) по информации о компании в открытом доступе, рассказал CNews Олег Андреев, руководитель направления информационной безопасности ГК «Корус Консалтинг».

Если судить по косвенным признакам (увеличение количества фишинговых ресурсов и рост количества соответствующих доменов), то указанные в отчете Softline оценки даже могут быть заниженными, считает эксперт.

Александр Вураско, директор по развитию центра мониторинга внешних цифровых угроз Solar AURA ГК «Солар», подтвердил CNews, что проблема с «зомби-доменами» существует, но добавил, что достоверной общероссийской статистики, показывающей ежегодный прирост именно «зомби-доменов», сейчас нет, как нет и единого отраслевого определения этого термина.

По словам Вураско, одни исследователи считают «зомби-доменами» только освобожденные домены, которые зарегистрировали третьи лица, другие включают заброшенные сайты, тестовые ресурсы, уязвимые поддомены и домены, которыми формально еще владеет компания, но фактически никто не управляет, добавил Вураско.

Номинанты на звание «Зомби»

Чаще всего компании «забывают» тестовые среды разработчиков, поскольку их поднимают под конкретную задачу, а после завершения проекта не выводят из эксплуатации и не учитывают в реестре активов компании, пояснила CNews результаты исследования руководитель направления Отдела анализа и оценки цифровых угроз ГК Softline (Infosecurity, входит в «Софтлайн Решения») Кристина Буренкова.

При этом промо-страницы завершенных акций и домены бывших дочерних структур «забывают» реже, за них отвечают отделы маркетинга или юридический блок.

По словам эксперта ГК Softline, перехват доменов — регулярное явление. Типичный сценарий: компания в партнерстве с другим брендом выпускает физический продукт с промо-акцией, ссылка на промо-домен печатается на упаковке. Товар уходит в розницу, а за доменом перестают следить. В какой-то момент домен перехватывают и размещают на нем, например, онлайн-казино. Покупатель, отсканировавший QR-код с упаковки, попадает не на промо-страницу, а на нелегальный ресурс.

Похожие истории случаются и с техническими доменами, теряющимися при смене команды или подрядчика.

Вураско же полагает, что чаще все-таки теряются сайты, связанные с маркетингом, например созданные для промоакций или лендинги конференций, защитные регистрации для брендов и тому подобное. При этом ситуация с «тестовыми средами» более сложная.

«Разработчики чаще создают не отдельный домен второго уровня, а поддомены вида test.company.ru, dev.company.ru или stage.company.ru. Здесь типичная проблема — не окончание регистрации, а «висячая» DNS-запись. Например, тестовый облачный сервис удалили, но CNAME-запись, ведущую на него с корпоративного поддомена, оставили. Тогда у злоумышленника может появиться возможность занять освободившееся имя облачного ресурса и начать управлять содержимым корпоративного поддомена», — рассказал Александр Вураско из Solar.

Олег Андреев уточняет, что именно профессиональные домены, создаваемые для разработчиков, тестовые среды, являются самыми уязвимыми и опасными. По его словам, именно эти домены являются тестовыми, закрытыми и контроль со стороны ИБ за ними минимален, а иногда внутренним ИБ-службам о них даже неизвестно.

Ущерб и скорость

Буренкова отмечает, что перехваченный домен злоумышленник может перепродать, в зависимости от узнаваемости бренда, от сотен тысяч до десятков миллионов рублей. Он может стать точкой входа во внутреннюю инфраструктуру компании, тогда ущерб вырастает уже на порядки, вплоть до десятков и сотен миллионов рублей, указала эксперт.

При этом простое продление обошлось бы компании максимум в несколько тысяч рублей в год, то есть разница может достигать сотен и тысяч раз.

После того как регистрация завершится, у собственника есть время, чтобы вернуть домен. Обычно действует льготный период ровно 30 дней, в течение которого владелец может продлить домен на стандартных условиях. Если этого не происходит, домен уходит в свободную продажу, добавил эксперт. В этом случае счет идет на секунды.

«Здесь в игру вступают киберсквоттеры — профессиональные скупщики освободившихся доменов. Чем более узнаваем бренд, тем выше вероятность, что домен стоит на автоматическом мониторинге и будет выкуплен в первые секунды после освобождения», — рассказала Кристина Буренкова.

По словам Вураско, основная проблема забытых доменов заключается не в стоимости продления, а в отсутствии владельца и контролируемого жизненного цикла. Пока домен используется, компания должна понимать, кто за него отвечает, какие сервисы к нему привязаны и когда заканчивается регистрация.

«А закрытие проекта должно автоматически запускать инвентаризацию DNS, почты, сертификатов, облачных ресурсов и внешних интеграций. Условные 400 руб. экономии на продлении могут обернуться тем, что злоумышленник получит адрес с историей, трафиком и доверием к бренду. Но защищаться от этого следует не бесконечной оплатой всех старых доменов, а централизованным учетом, риск-ориентированным хранением и формальной процедурой безопасного вывода интернет-активов из эксплуатации», — заключил Александр Вураско.

Что делать, если домен стал не нужен?

По словам Кристины Буренковой, если домен стал не нужен, но был связан с важной работой, то оптимально — продолжать продлевать. Если проект все же закрывается окончательно, важен поэтапный, а не резкий вывод из эксплуатации.

«Сначала техническая часть — сменить email восстановления на сторонних сервисах, привязанных к домену, отозвать выданные разрешения и API-ключи. Затем коммуникационная — заранее, за несколько месяцев, уведомить клиентов, партнеров и сотрудников. И только после этого планово отключить», — советует специалист.

Безопасный вывод домена из эксплуатации — это отдельный процесс, а не просто отключение автопродления. Сначала необходимо определить владельца актива и проверить все зависимости. Домен может использоваться не только для сайта, но и для электронной почты, API, мобильного приложения, OAuth-авторизации, сброса паролей, CDN, сертификатов, сокращенных ссылок, QR-кодов, партнерских списков разрешенных адресов и внутренних инструкций, рассуждает Александр Вураско из Solar.

После этого следует перенести необходимые сервисы и заранее обновить все ссылки, интеграции и адреса электронной почты, отозвать сертификаты, токены, API-ключи и доступы подрядчиков, связанные со старым ресурсом. Затем нужно удалить DNS-записи, ведущие на ликвидированные облачные сервисы, хостинг и CDN. Нельзя сначала удалить внешний ресурс и надолго оставить указывающий на него CNAME. Еще один шаг — проверить конфигурацию MX, SPF, DKIM и DMARC. Если домен больше не должен принимать почту, можно использовать Null MX, а если не должен отправлять ее — SPF со значением -all. Стандарт RFC 7505 прямо предусматривает Null MX для доменов, не принимающих электронную почту.

В течение установленного компанией карантинного периода, считает эксперт, необходимо контролировать обращения к старому домену и проверять, остались ли реальные пользователи, приложения или контрагенты, которые продолжают к нему обращаться. Также необходимо зафиксировать решение о дальнейшем хранении или освобождении домена с указанием ответственного лица и принятого риска.

Домены, которые использовались для корпоративной почты, авторизации, восстановления доступа, мобильных приложений или массовых коммуникаций с клиентами, часто целесообразно сохранять надолго, а иногда бессрочно. Даже после закрытия проекта невозможно гарантировать удаление всех старых писем, закладок, документов и учетных записей, где этот домен указан. То же касается основного бренда, прежнего названия компании, популярных продуктов и доменов с высоким трафиком.

Такие адреса безопаснее оставить в корпоративном портфеле, включить автоматическое продление, многофакторную аутентификацию и блокировку критических операций у регистратора. Низкорисковый домен временной акции можно освободить после полной очистки зависимостей и периода наблюдения. Но абсолютно безопасного способа «стереть историю» домена не существует: после освобождения компания теряет контроль над тем, как его будет использовать следующий владелец, констатировал Вураско.

Без вины виноватый

У проблемы с потерянными доменами есть и вторая сторона. Часто страдают не только бывшие владельцы, но и их партнеры, добавляет Буренкова.

«Оценку цифровой гигиены контрагента важно проводить еще до заключения договора и подключения его к инфраструктуре. В первую очередь следует обратить внимание на домены, субдомены и IP-адреса, а также на заброшенные или перехваченные домены и сведения о партнерских отношениях», — сказала Кристина Буренкова.

Поэтому при технической проверке подрядчика также необходимо изучать открытые репозитории кода, версии программного обеспечения с критическими уязвимостями, утечки, корпоративные документы и скомпрометированные учетные записи сотрудников.

Если партнер получает доступ к критичной инфраструктуре или большому объему данных, проверка должна быть глубже. В таком случае дополнительно смотрят открытые внутрикорпоративные группы и каналы, где публикуются конфиденциальные документы, внутренние сведения, данные о сотрудниках или партнерах.

«Забытый или перехваченный домен означает потерю контроля над цифровым активом, а раскрытие данных о партнерах приводит к нарушению договоренностей о конфиденциальности. Поэтому оба риска важно учитывать еще до начала взаимодействия с потенциальным контрагентом», — отметила эксперт ГК Softline.

При выборе партнера важно смотреть не только на защищенность его внутренней инфраструктуры, но и на то, что находится в открытом доступе: домены, репозитории, утечки и фишинговые ресурсы. Чем больше полномочий получает партнер и чем выше цена ошибки, тем тщательнее нужно проверять его цифровую среду, полагает эксперт.

Буренкова также добавила, что при наличии NDA (соглашения о неразглашении) раскрытие информации о партнерах может быть нарушением соглашения, если на эти сведения распространяются его условия. Но и без NDA такая утечка может иметь юридические последствия, например если нарушены установленные требования к защите информации или раскрыты сведения, в отношении которых действует режим коммерческой тайны.