T1584.002: DNS 服务器

摘要

攻击者可能攻陷可在目标定位期间使用的第三方 DNS 服务器。在入侵后活动中，攻击者可能将 DNS 流量用于各种任务，包括命令与控制（例如[应用层协议](https://attack.mitre.org/techniques/T1071)）。攻击者可能攻陷第三方 DNS 服务器以支持操作，而不是搭建自己的 DNS 服务器。 通过攻陷 DNS 服务器，攻击者可以更改 DNS 记录。这种控制可以允许重定向组织的流量，促进攻击者的收集和凭据访问工作。(Citation: Talos DNSpionage Nov 2018)(Citation: FireEye DNS Hijack 2019) 此外，攻击者可能将这种控制与[数字证书](https://attack.mitre.org/techniques/T1588/004)结合使用，将流量重定向到攻击者控制的基础设施，模仿正常的受信任网络通信。(Citation: FireEye DNS Hijack 2019)(Citation: Crowdstrike DNS Hijack 2019) 或者，他们可能能够向 SaaS 服务证明某个域名的所有权，以取得对该服务的控制权，或创建新的管理性[云账户](https://attack.mitre.org/techniques/T1136/003)。(Citation: CyberCX SaaS Domain Hijacking 2025) 攻击者还可能能够在不惊动 DNS 服务器实际所有者的情况下，静默创建指向恶意服务器的子域名。(Citation: CiscoAngler)(Citation: Proofpoint Domain Shadowing)