放置されたDNSレコードの実態
忘れ去られたドメインレコードは、企業ネットワーク内にひっそりと潜んでいることがよくあります。こうした放置されたエントリは、クラウドリソースの期限切れとともに深刻なセキュリティリスクを生み出します。最近、Silent Pushのセキュリティ研究者たちがこの脆弱性について包括的な調査を実施しました。サブドメイン乗っ取りの脆弱性に関する調査で、専門家らは1万2千を超える企業ドメインを分析しました。具体的には、政府機関、金融機関、自動車メーカー、製薬会社が調査対象に含まれています。
この管理された調査の過程で、研究者らは脆弱なサブドメインを約1万6千件特定しました。さらに、そのうち4千件のターゲットについては乗っ取りプロセスの自動化にも成功しています。幸いなことに、研究チームはすべてのテストを厳格なセキュリティプロトコルの下で実施しました。実際のサイバー攻撃を防ぐため、影響を受ける組織には直ちに通知が行われています。
Danglegeddonが企業システムを脅かす仕組み
研究者らはこの広範な脅威を「Danglegeddon」と名付けました。主に、この脆弱性は組織がクラウドストレージコンテナ、仮想マシン、Webアプリケーションを削除した後に発生します。しかし、関連するDNSレコードはそのまま有効な状態で残り、既に放棄されたリソースのアドレスを指し続けることが少なくありません。そのため、攻撃者は同じリソース名を新たに登録することで、そのサブドメインのコンテンツを掌握できてしまいます。
乗っ取られたサブドメインが抱えるリスク
乗っ取られたサブドメイン自体が、直ちに内部ネットワークへのアクセス権を与えるわけではありません。とはいえ、信頼されたドメインが悪用されることは、運用上深刻なリスクをもたらします。例えば、攻撃者は正規の企業名を装った、説得力のあるフィッシングページをホスティングできます。さらに、敵対者は有効なTLS証明書を取得し、境界防御のフィルタリングを回避することも可能です。セッションCookieの設定が不適切な場合、ユーザーの認証情報が盗まれる恐れもあります。
AIを活用した脆弱性検出の自動化
Silent Pushは、自動化スクリプトとClaude Opus 5を組み合わせて、放置されたレコードの特定を行いました。しかも、このAIモデルはわずか数時間で、企業ドメインを脆弱なクラウドサービスへとマッピングしています。研究チームは、すべての対象システムに対して単一の標準化されたテスト手法を適用しました。その結果、研究者らは連邦政府機関や大手企業を巻き込んだ乗っ取りの実証に成功しています。露出していたターゲットの大半は、削除済みのMicrosoft Azureアセットに起因するもので、DNSポインタが有効なまま残っていました。
クラウドセキュリティに不可欠な緩和策
組織は、放置されたDNSレコードを排除するため、能動的な対策を講じる必要があります。まず、セキュリティチームはクラウドアセットを停止する前にDNSレコードを削除すべきです。次に、管理者はNSレコードとMXレコードを定期的に点検する必要があります。さらに、企業はすべての有効なドメインエントリに対し、明確な所有者を割り当てるべきです。最後に、CAAレコードの導入と継続的な監視によって、新たに現れる脅威に対する強固な防御を確保できます。
翻訳元: https://meterpreter.org/subdomain-takeover-vulnerabilities/
