Nel articolo a cui fa riferimento la pagina di Wikipedia, le cose sono più chiare. Ecco la storia:
Il malware CryptoLocker crittografa i file dell'utente con una chiave generata casualmente. Per attuare il riscatto, il malware deve inviare la chiave di decodifica a un centro di comando e controllo gestito dai cattivi. Un IP o un nome di server C & C fisso e singolo verrebbe presto spento dalle autorità. Per evitare questo problema, gli autori di CryptoLocker hanno utilizzato il seguente schema: il C & C registra nomi di dominio dall'aspetto casuale ad un tasso piuttosto elevato (1000 al giorno!). I nomi di dominio sono generati con un algoritmo pseudo-casuale deterministico, che anche il malware conosce. Pertanto, quando CryptoLocker viene eseguito sul computer di una vittima, tenta di utilizzare uno dei nomi di dominio du jour per parlare con il C & C. La speranza dell'attaccante è che le forze dell'ordine debbano passare attraverso la pesante burocrazia amministrativa per forzare la chiusura di un nome di dominio e non saranno in grado di farlo 1000 volte al giorno.
Poiché il malware conosce l'algoritmo di generazione del dominio, un ricercatore (Dimiter Andonov) ha decodificato il codice e quindi è riuscito a prevedere in anticipo i nomi dei domini. Kaspersky ha "scavalcato" tre nomi di dominio su 3000 per tre giorni consecutivi; questo significa che semplicemente ... hanno registrato questi domini. Che ha impedito ai cattivi di fare lo stesso, ma fornisce anche alcuni dati a Kaspersky. Kaspersky voleva prendere delle misure, non per contenere l'infezione. Con i loro tre nomi di dominio, ha salvato circa 1/1000 delle vittime di CryptoLocker durante tre giorni (non è un risultato elevato, in generale), ma ha anche ottenuto statistiche sulla distribuzione mondiale delle vittime: 1/1000 delle macchine infettate da CryptoLocker , durante questi tre giorni, ho parlato non con la C & C, ma con i sistemi di Kaspersky, che ovviamente hanno detto loro non per crittografare i dati, ma hanno anche notato chi ha parlato con loro.
Per bloccare veramente CryptoLocker a livello DNS, tutti i 1000 domini ogni giorno dovrebbero essere bloccati (ad es. da root DNS), il che potrebbe implicare qualche danno collaterale (normali, domini onesti potrebbero essere, per sfortuna, parte di i nomi generati casualmente).
Il termine "sinkhole" è alquanto offensivo qui . Una sinkhole real implica qualcosa di più strong: il sinkhole è un server DNS che "in qualche modo" viene inserito nella catena di server DNS a cui viene chiesta la propria opinione sulla risoluzione di un determinato nome. Una versione locale è semplice: inserisci alcune informazioni host-to-IP esplicite in /etc/hosts (o il suo equivalente Windows), che sovrascriveranno qualsiasi cosa che il sistema DNS esterno possa dire sul nome. Per un effetto più globale, questo deve essere fatto a livello di sistema operativo (ad esempio, Microsoft può spingere una patch del sistema operativo che altera la risoluzione dei nomi) o su un DNS root (o una "sub-root" come " co.uk ") ").
In questo senso, la differenza tra una sinkhole DNS e Lo spoofing del DNS è che nel primo caso viene eseguito da persone" buone ". Formalmente, si tratta di un tipo di attacco ... che ci ricorda che il fornitore del sistema operativo e del browser che utilizzi (ad esempio Microsoft) e gli operatori DNS radice sono "attendibili": se sono ostili a te, sei condannato.