Exploatarea serviciului DNS pentru a transforma malware-ul într-o amenințare cu adevărat invizibilă
Cercetătorii în securitate și hackerii etici descoperă locuri noi și neașteptate în care codul malițios poate fi ascuns în infrastructura IT. Chiar și aparent inofensivul Domain Name System (DNS) – sistemul fundamental de denumire pentru toate dispozitivele conectate la internet – poate fi, teoretic, exploatat de infractori cibernetici inteligenți sau de atacatori sponsorizați de stat. Acest lucru subliniază o tendință în creștere: nicio parte a stivei digitale nu este prea banală pentru a deveni un vector pentru amenințări sofisticate.
Ascunderea ransomware-ului într-un procesor a fost ciudată, dar acum, atacatorii merg și mai în profunzime și mai pe scară largă în rețele. Într-o descoperire recentă, cercetătorii în securitate au dezvăluit că o bucată de malware a fost încorporată direct în Domain Name System, ocolind efectiv aproape toate instrumentele avansate de securitate.
Determinați de rapoarte anterioare despre cineva care ascundea imagini în înregistrările DNS, cercetătorii de la DomainTools au început să scaneze înregistrările DNS TT în căutarea unor semne de date binare sau non-standard. Înregistrările TXT, care pot stoca text arbitrar și sunt adesea folosite pentru a verifica proprietatea domeniului, s-au dovedit a fi un canal sub acoperire surprinzător de eficient. Echipa DT a descoperit că putea codifica mostre de malware în aceste înregistrări, convertind fișierele binare executabile în șiruri hexazecimale.
Săpând mai adânc, cercetătorii au căutat „magic bytes” cunoscuți – identificatori utilizați în diverse antete de fișiere executabile. Au găsit mai multe instanțe ale unui antet .exe familiar, încorporate în diferite subdomenii aparținând aceluiași domeniu, fiecare conținând valori distincte ale înregistrărilor TXT. În total, sute de subdomenii păreau să participe la această schemă ciudată și discretă de distribuție a malware-ului.
Analiștii de la DomainTools suspectează că atacatorul a împărțit un fișier binar malițios în sute de fragmente codificate hexazecimal, fiecare stocat într-un subdomeniu DNS diferit. Potrivit cercetătorilor, adversarul a folosit apoi un serviciu de inteligență artificială generativă pentru a genera rapid un script capabil să reasambleze fragmentele. Odată reconstruit, fișierul binar se potrivea cu două hash-uri SHA-256 cunoscute ale Joke Screenmate, un malware de tip farsă care imită un comportament distructiv și poate interfera cu funcțiile normale ale sistemului și controlul utilizatorului.
Dar asta nu a fost tot. Folosind aceeași tehnică de investigație, echipa a descoperit și un script PowerShell codificat, încorporat în înregistrările DNS. Acest script se conecta la un server de comandă și control legat de framework-ul Covenant, un set de instrumente post-exploatare legitim, adesea refolosit de actorii de amenințări. Conexiunea ar putea facilita descărcarea de sarcini utile suplimentare, făcându-l o componentă potențială a unui lanț de atac mai mare și mai sofisticat.
Într-o declarație prin e-mail, inginerul DomainTools, Ian Campbell, a subliniat riscul în creștere al livrării de malware bazat pe DNS, în special pe măsură ce tehnologiile de criptare precum DNS over HTTPS și DNS over TLS devin mai răspândite.
„Dacă nu sunteți una dintre acele firme care își fac propria rezoluție DNS în rețea, nici măcar nu puteți spune care este cererea, cu atât mai puțin dacă este normală sau suspectă,” a spus Campbell.
Prin valorificarea acestor protocoale DNS criptate, infractorii cibernetici pot introduce efectiv sarcini utile pe lângă majoritatea sistemelor de detecție, făcând din DNS un vector din ce în ce mai atractiv pentru distribuția discretă de malware.
