Toma de control de subdominio: cómo un registro DNS olvidado se convierte en vulnerabilidad
Una toma de control de subdominio no requiere entrar en nada — aprovecha un registro DNS que nadie recordó eliminar, apuntando a un recurso que ya no es de nadie.
Qué es
Una toma de control de subdominio ocurre cuando un registro DNS —normalmente un CNAME— sigue apuntando a un recurso de terceros (un bucket de almacenamiento en la nube, una app de una plataforma PaaS, un servicio de sitios estáticos) que desde entonces ha sido eliminado, mientras el propio registro nunca se retiró. Quien pueda reclamar ese mismo nombre de recurso en la plataforma controla ahora lo que se sirve bajo tu subdominio.
Cómo ocurre
- Un equipo apunta promo.example.com a un servicio de terceros —un bucket de almacenamiento de objetos, una app PaaS, un host de sitios estáticos— mediante CNAME
- Más tarde, ese recurso se elimina o la suscripción caduca, pero el registro CNAME en el DNS se queda tal cual
- El nombre del recurso vuelve a estar disponible en esa plataforma, ya que la plataforma no tiene forma de saber que el DNS de otra persona todavía lo referencia
- Un atacante reclama exactamente el mismo nombre de recurso en la plataforma
- El tráfico hacia promo.example.com llega ahora al recurso del atacante, porque el CNAME nunca apuntó a la infraestructura propia de tu dominio — siempre apuntó a un nombre en la plataforma de otro
Por qué es eficaz
El contenido servido así corre bajo el propio dominio de la víctima, lo que le permite eludir listas blancas basadas en el dominio, parecer legítimo en enlaces de phishing porque el dominio visible realmente es el auténtico, e incluso en algunos casos obtener un certificado TLS válido para ese subdominio — porque el atacante realmente controla el recurso al que apunta el registro DNS.
Cómo encuentran candidatos los atacantes
La enumeración de subdominios saca a la luz todos los CNAME que apuntan a plataformas de terceros; comprobar cuáles de esos destinos devuelven un error característico de «no encontrado» o «no such bucket» —la firma de un recurso sin reclamar— reduce la lista a los explotables.
Prevención
Elimina el registro DNS en el mismo momento en que se da de baja un recurso — es la única solución completa, ya que un registro sin nada legítimo detrás es toda la vulnerabilidad. Auditar los subdominios periódicamente, sobre todo tras cualquier migración fuera de un servicio de terceros, detecta lo que las listas de comprobación de baja pasan por alto.
Audita tus propios subdominios
Ve la teoría en la práctica: ejecuta Buscador de subdominios para tu propio dominio.