我的 Windows 10 机器是否遇到 DNS 中毒?连接到美国政府域时,我不断获得中国 IP 地址

信息安全 dns
2021-08-24 12:32:41

我发现一些 .gov 网站被重定向到中国 IP。我在 Internet 上进行了搜索,以查看这是否是一种已知形式的恶意软件,但我找不到任何信息。我希望有人指导我隔离受感染的文件并在适用的情况下向 AV 报告。

这是来自受感染计算机的 nslookup 解析:

C:\Users\Alex>nslookup www.whitehouse.gov
Servidor:  google-public-dns-a.google.com
Address:  8.8.8.8

Respuesta no autoritativa:
Nombre:  www.whitehouse.gov
Address:  139.129.57.70

这是来自同一网络中的 Linux 计算机的有效响应:

alex@nas:~$ nslookup www.whitehouse.gov
Server:         8.8.8.8
Address:        8.8.8.8#53

Non-authoritative answer:
www.whitehouse.gov      canonical name = wildcard.whitehouse.gov.edgekey.net.
wildcard.whitehouse.gov.edgekey.net     canonical name = e4036.dscb.akamaiedge.net.
Name:   e4036.dscb.akamaiedge.net
Address: 104.83.16.193

如您所见,有些东西正在干预 DNS 请求并重定向到 139.129.57.70,这是一个中国 IP。我认为这台计算机被某种伪装成政府网站并泄露信息的恶意软件感染了。

关于哪些文件可能被感染的任何线索?

3个回答

内容交付网络

这可能是内容交付网络的一部分,需要考虑很多政治问题。

如果您尝试dig www.whitehouse.gov a,在答案部分下方,您将看到以下内容:

www.whitehouse.gov. 131 IN  CNAME   wildcard.whitehouse.gov.edgekey.net.
wildcard.whitehouse.gov.edgekey.net. 731 IN CNAME e4036.dscb.akamaiedge.net.
e4036.dscb.akamaiedge.net. 20   IN  A   23.73.28.110

看到 CNAME 地址了吗?尝试host -t A www.whitehouse.gov更好的解释:

www.whitehouse.gov is an alias for wildcard.whitehouse.gov.edgekey.net.
wildcard.whitehouse.gov.edgekey.net is an alias for e4036.dscb.akamaiedge.net.
e4036.dscb.akamaiedge.net has address 23.73.28.110

你注意到我得到的 IP 地址与你不同吗?注意wildcard*edge*部分?那是什么?它是一个应该离您最近的边缘服务器。

您是在 Linux 机器还是 Windows 机器上使用 VPN?也许是在香港、杭州或东亚其他地方?也许您的路由器配置为使用 VPN,或者通过 TOR?

您收到的 IP 地址属于阿里云计算有限公司,它是阿里云/CDN 套件的一部分。


但是等等,我们是如何从 Akamai 获得 Aliyun Cloud/CDN (Alibaba) IP 地址的?他们不是竞争对手吗?

同样,您是在 Linux 机器还是 Windows 机器上使用 VPN?也许是在香港、杭州或东亚其他地方?也许您的路由器配置为使用 VPN,或者通过 TOR?

Akamai 确实在中国开展业务,但...

想在中国赚钱?你必须遵守北京的规定。我认为我们刚刚发现了一些让 Akamai 尴尬的事情:为了在中国开展业务,他们很可能被迫与他们建立合作伙伴关系。

为了在中国开展业务,几乎所有外国公司之前都必须将其知识产权的控制权交给中国的联合合作伙伴,才能获准在中国开展业务。

让我们看看你给我们的IP whois 139.129.57.70 | grep -i 'Ali\|Hangzhou'::

网名:阿里索夫
描述:          阿里云计算有限公司描述
:          中国浙江省杭州市文二路391号,邮编:310099
地址:杭州市余杭区文一西路969号
邮箱:jiali.jl@alibaba-inc.com
地址:杭州市文二路391号
电子邮件:反垃圾邮件@list。alibaba-inc.com
邮箱:cloud-cc-sqcloud@list。阿里巴巴-inc.com
地址:中国浙江杭州
地址:杭州市文二路391号
邮箱:guowei.pangw@alibaba-inc.com

在这种情况下,Akamai 的合作伙伴很可能是阿里巴巴/阿里云。这使得中国政府可以根据需要通过 CDN 向访问者提供恶意内容。

在我看来,每一个 CDN 都是 MITM 即服务。


线鲨?可能做错了。

如果您确实遇到了某种 DNS 劫持/MITM 问题怎么办?如果您想使用 Wireshark,您可能无法在路由器和计算机之间进行数据包捕获,除非问题主要存在于您的 Windows 10 机器上。您只会收到路由器为您提供的任何东西。

如果您的 Windows 10 机器没有问题,那么在您的计算机上使用 Wireshark 可能不会为您提供任何有意义的信息。如果您的路由器遭到入侵怎么办?

您可以做的是在网关和路由器之间放置一个具有端口镜像功能的交换机,并使用端口镜像查看发生了什么。或局域网投掷明星。这样,您可以看到您的路由器发送和接收的内容,并将其与 Wireshark 看到的内容进行比较。

好吧,我已经安装了 Wireshark 并应用了 DNS 过滤器来查看发生了什么。当我从 Windows 到 whitehouse.gov 执行 nslookup 时,我可以在 Wireshark 中看到它正在附加(没有向我显示)我的家庭 DNS 后缀(.casa)。

然后我尝试从 Linux 机器解析任何.gov.casa 并解析为上述中文 IP。

所以我很确定这里的问题是 Windows 暗中将我的家庭 DNS 后缀 (.casa) 附加到 gov 域。为什么它开始这样做我不知道,这个后缀多年来一直在我的番茄 RAF 路由器中配置,并且这种行为在最近几天开始发生。几天前,我毫无问题地进入 jpl.nasa.gov 看到了一些图片,所以这个变化是最近的。

也许问题出在最近几天可能已经公开的 .casa TLD 中,或者是 Windows 10 最近更新中的一些变化,但绝对不是与安全相关的问题。

谢谢大家的建议。

首先,我会查看该C:\Windows\System32\drivers\etc\hosts文件,如果您找到.gov不应在此处列出的某些域(或其他域,默认情况下为空)的列表。那么这就是 DNS 无法正常工作的原因。

从文件本身:

此文件包含 IP 地址到主机名的映射

但我也建议你,正如 Luc 所说,重新安装计算机,如果有病毒编辑主机文件(只有管理员权限),它可能会做更糟糕的事情。