网络钓鱼攻击无处不在，但从历史上看，其战术遵循清晰的模式和趋势。Infoblox Threat Intel 的一项调查揭示了一个异常现象：网络犯罪分子使用的一种新方法针对受害者。恶意活动采用了一种前所未有的、此前从未报道过的方法来规避安全控制。该策略利用为互联网基础设施本身保留的域名空间，通过垃圾邮件分发网络钓鱼。在此过程中，犯罪分子创建 IPv6 隧道，然后使用反向 DNS 记录来托管欺诈性网站。
.arpa 域名的滥用机制
与更知名的顶级域（TLD）如 .com 和 .net 不同，后者主要用于托管网页内容，.arpa 在域名系统（DNS）中执行特定功能。它主要用于通过反向 DNS 记录将 IP 地址与域名关联起来，而不是用于托管网站。黑客随后利用了一些 DNS 提供商提供的记录管理控制中的漏洞。此功能允许你添加与 .arpa 域名关联的 IP 地址记录，并借此在该结构背后托管恶意内容。
IPv6 隧道的非正常用途
为了扩大攻击规模，犯罪分子仍然利用免费 IPv6 隧道，这些隧道可提供大量 IP 地址用于攻击。值得注意的是，IPv6 隧道并非为此类目的而设计。它们的存在是为了在仍以传统 IPv4 设备为主的环境中实现互联网通信，而非用于支撑网络钓鱼活动。
专家观点：核心基础设施被“武器化”
“当我们看到攻击者利用 .arpa 域名时，他们正在将互联网的核心变成一种‘武器’，”Infoblox 威胁情报副总裁 Renee Burton 博士表示。“反向 DNS 空间从未设计用于托管 Web 内容，因此大多数防御措施甚至不将其视为潜在的攻击面。通过将 .arpa 转变为网络钓鱼的投递机制，这些攻击者有效地绕过了依赖域名声誉或 URL 结构的传统控制措施。防御者需要开始将自身的 DNS 基础设施视为攻击者的宝贵资源，并需要具备相应的可见性以应对滥用行为。”
攻击手法：隐藏链接与流量分发
在这些活动中观察到的钓鱼邮件伪装成知名品牌，并承诺提供“brindes”或奖品。这些消息仅包含一张隐藏超链接的图片，通过流量分发系统（TDS）将受害者引导至欺诈网站。与此同时，可见的URL从未暴露攻击者正在使用的基于.arpa的反向DNS字符串。
About Infoblox Threat Intel
Infoblox Threat Intel 是 DNS 威胁原始情报的领先创作者，在众多聚合商中脱颖而出。我们的独特优势在于两点：卓越的 DNS 专业能力和无与伦比的可见性。DNS 的解释与分析 notoriously 复杂，但我们凭借深厚的知识和对互联网内部运作的独特访问权限，能够追踪其他方无法检测到的威胁行为者。我们不仅被动防御，更采取主动策略，利用我们的洞察在源头打击网络犯罪。我们还坚信分享知识以支持更广泛的安全社区，发布详细指标，并在 GitHub 上提供这些情报。此外，我们的情报也融入了 Infox 的综合解决方案中。