T1584.001: 域名

摘要

攻击者可能劫持可在目标定位期间使用的域名和/或子域名。域名注册劫持是在未经原注册人许可的情况下更改域名注册的行为。(Citation: ICANNDomainNameHijacking) 攻击者可能获取被列为域名所有者的人员的电子邮件账户的访问权限。然后攻击者可以声称忘记了密码，以更改域名注册。其他可能性包括对域名注册帮助台进行社会工程以获取账户访问权限、利用续期流程的间隙，或攻陷支持管理域名的云服务（例如 AWS Route53）。(Citation: Krebs DNS Hijack 2019) 当组织拥有指向不存在或已取消配置资源的 DNS 条目时，可能发生子域名劫持。在这种情况下，攻击者可能控制某个子域名，以借助与该域名相关联的信任来开展操作。(Citation: Microsoft Sub Takeover 2020) 攻陷域名的攻击者还可能通过在其控制下创建恶意子域名，同时保留任何现有 DNS 记录，来进行域名影子化。由于服务不会中断，恶意子域名可能在很长一段时间内不被察觉。(Citation: Palo Alto Unit 42 Domain Shadowing 2022)