Hvad betyder DNS-hijacking?

DNS-hijacking betyder, at DNS-svar (oversættelsen fra domænenavn til IP-adresse) bliver omdirigeret eller manipuleret, så en bruger i praksis ender på en anden server, end domænet normalt ville pege på.

DNS er et navnesystem i internettet, der hjælper din enhed med at finde den rigtige IP-adresse bag et domænenavn. Hvis en aktør kan påvirke de DNS-opslag, du modtager, kan det føre til uventede IP’er og dermed uventet indhold, selv når du skriver den “rigtige” webadresse.

Begrebet bruges ofte bredt om flere forskellige situationer. Fællesnævneren er, at kontrollen ligger i kæden omkring DNS-responser—ikke nødvendigvis i selve hjemmesiden.

Hvordan kan DNS-hijacking opstå i praksis?

DNS-hijacking kan opstå i flere led, og det vigtigste er at forstå, at DNS ikke kun er “en magisk database”, men en proces: Din enhed spørger, og en svarer tilbage. Den svaghed, der udnyttes, kan være knyttet til, hvor forespørgsler sendes hen, hvordan svar håndteres, og om svar kan forfalskes eller ændres.

Typiske scenarier man kan tale om (uden at det fortæller hele historien for en bestemt hændelse):

  • Netværksniveau påvirkning: Hvis din enhed bruger DNS-opsætninger, der kan ændres af andre på samme netværk (fx routerindstillinger), kan DNS blive omdirigeret til en anden resolver.
  • Uønsket software på enheder: Malware eller uønsket konfiguration kan få enheder til at bruge andre DNS-servere eller ændre DNS-relaterede indstillinger.
  • Angreb på kommunikationens vej: Hvis DNS-svar kan manipuleres undervejs (afhængigt af protokol, opsætning og sikkerhed), kan den IP du ender med at forbinde til være ændret.

Resultatet kan være alt fra en simpel omdirigering til en side, der ligner den oprindelige, til download-/login-forsøg. Men fordi netop DNS kun er et opslagstrin, er adfærden ofte indirekte: du kan først se problemet, når du forsøger at besøge noget.

Hvad er forskellen på DNS-hijacking og andre fejl?

Det er let at forveksle DNS-hijacking med andre fænomener, der også giver “forkerte” adresser. Derfor er det nyttigt at skelne på niveauer:

  • Legitim afvigelse (fx caching eller belastningsdeling): DNS kan variere midlertidigt pga. TTL, caching, eller at et domæne bruger flere servere. Det behøver ikke være ondsindet.
  • Falsk/ændret DNS-output vs. ændret webindhold: DNS-hijacking handler primært om, at navnet peger forkert. Hvis navnet peger rigtigt, men indholdet virker forkert, kan årsagen være noget andet (for eksempel en kompromitteret server eller proxy).
  • “Spoofing” og omdirigering i andre lag: Omdirigering kan også ske via browser, proxy, eller netværksfiltre. DNS er kun én mulig rute for manipulation.

Begrænsning: Uden at kende den konkrete konfiguration og konteksten (hvilket netværk, hvilke DNS-indstillinger, hvilke logdata man har) kan man ikke alene ud fra en uventet side konkludere, at det er DNS-hijacking.

Hvad kan du kontrollere for at vurdere mistanke?

Målet er at sammenligne forventet adfærd med faktisk adfærd og se om afvigelsen er stabil og konsistent.

*Kontrolpunkter du kan bruge:

  1. Tjek om domænet altid giver samme IP i korte tidsrum Hvis et domæne konsekvent peger på en uventet IP-adresse på tværs af flere test, er det et stærkere signal end en enkelt fejl.

  2. Lav opslag via flere forskellige DNS-resolvers Hvis den samme forespørgsel giver meget forskellige IP’er afhængigt af hvilken DNS-resolver der bruges, kan det indikere, at der er noget galt i det DNS-led du normalt afhænger af.

  3. Sammenhold med den faktiske forbindelse (kritisk uden at antage) Når IP’en er ændret, kan weboplevelsen påvirkes. Samtidig er det vigtigt at huske, at moderne webbrowsere ofte viser signaler relateret til forbindelsens sikkerhed (fx certificater). Afvigende forbindelsesadfærd kan derfor være relevant, men det er ikke en garanti for diagnosen.

  4. Se efter lokale konfigurationsændringer Hvis din enhed bruger en “usædvanlig” DNS-server, eller DNS-indstillinger ændrer sig efter bestemte begivenheder (tilslutning til et netværk, opstart efter infektion, bestemte apps), kan det give spor.

Praktisk begrænsning: Selv med gode kontrolpunkter kan caching, midlertidige netværksproblemer og legitime DNS-filtre gøre det svært at afgøre entydigt. Du kan derfor have mistanke uden at kunne “bevise” DNS-hijacking alene via simple test.

Relevante begrænsninger og vigtige undtagelser

DNS-hijacking er et nyttigt begreb, men det er ikke altid den mest sandsynlige forklaring.

  • Midlertidige problemer kan ligne hinanden: DNS-fejl, servernedetid eller fejlkonfiguration kan give “forkerte” oplevelser uden at der er en aktiv angriber.
  • Delte netværk og captive portals: I nogle netværk kan trafik styres via login-sider og filtre, som også påvirker, hvad du ser, og hvornår.
  • Stabil vs. sporadisk afvigelse: En stabil afvigelse (samme domæne → samme “forkerte” IP) er mere bekymrende end en engangsforeteelse.

Når du vurderer mistanke, er det derfor ofte bedst at bruge DNS-hijacking som en hypotese: Kan en DNS-resolver påvirke resultatet? Stemmer det med de tests du kan gentage?

Realistiske situationer og mulige konsekvenser

Tænk på det som en risiko, der rammer adgangen til de steder, du forsøger at nå.

Et par realistiske mønstre:

  • På et netværk hvor DNS-indstillinger ændres (bevidst eller ubevidst), kan du møde sider der afviger fra det, du forventer—selv om domænenavnet er korrekt.
  • Hvis en enhed har ændrede DNS-indstillinger, kan du opleve afvigelser på bestemte tidspunkter eller kun på bestemte netværk.

Mulig konsekvens: Du kan blive dirigeret til andre servere, hvilket i praksis kan påvirke sikkerhed, login og downloads. Men præcis hvilken konsekvens der opstår afhænger af, hvordan indholdet på den “nye” destination er sat op.