Тулкит Decoy Dog помогает злоумышленникам обходить репутационные фильтры

Тулкит Decoy Dog помогает злоумышленникам обходить репутационные фильтры

Тулкит Decoy Dog помогает злоумышленникам обходить репутационные фильтры

В ходе очередной проверки DNS-трафика на наличие подозрительных аномалий специалисты Infoblox обнаружили тулкит для развертывания инструмента удаленного администрирования Pupy. Как оказалось, вредонос, условно нареченный Decoy Dog, существует в интернете уже год, умело скрывая свои C2-домены.

Операторы зловреда берегут центры управления, искусственно состаривая домены (регистрация и отложенное использование), а также клонируя DNS-запросы. Для обмена с C2 выстраиваются DNS-туннели, при этом используются кастомные серверы, расположенные в России, либо бесплатные услуги DDNS.

Цифровой отпечаток (DNS-фингерпринт) Decoy Dog уникален, что упрощает идентификацию и отслеживание. Найдя один C2-домен зловреда, исследователи с легкостью обнаружили еще несколько. Примечательно также использование пинг-поддоменов; эти маячки, установленные во взломанных сетях, работают с разным интервалом генерации DNS-запросов.

Кросс-платформенный инструмент постэксплуатации Pupy — это проект с открытым исходным кодом, доступный на GitHub. Злоумышленники ценят его за скрытность (бесфайловый способ загрузки) и возможность шифрованных C2-коммуникаций.

В данном случае Pupy развертывается как DNS C2; подобная задача нетривиальна и требует определенных знаний и опыта. Выявленные индикаторы компрометации Decoy Dog приведены и в бюллетене Infoblox, и в репозитории ИБ-компании на GitHub.

QR вместо документов: у Госуслуг появилось приложение для проверки данных

В семействе Госуслуг пополнение: появилось приложение «Госкан». Оно нужно сотрудникам организаций и ИП, чтобы проверять данные граждан по QR-кодам из приложений «Госуслуги», «Госуслуги Авто» и Цифрового ID в МАКС. Сценарий простой: человеку нужно подтвердить возраст, статус или наличие льгот — он показывает QR-код в одном из поддерживаемых приложений.

Сотрудник сканирует его через «Госкан» и видит результат проверки на своём экране. Без ксерокопий, диктовки паспортных данных и вечного «а покажите ещё что-нибудь».

Чтобы сотрудник мог пользоваться приложением, организация или ИП должны выдать ему машиночитаемую доверенность на Госуслугах. После входа в «Госкан» она подтянется автоматически. Если доверенности нет, приложение не станет делать вид, что всё нормально, а попросит сначала оформить МЧД.

Отдельный плюс для тех, кто работает сразу с несколькими компаниями или ИП: «Госкан» поддерживает несколько машиночитаемых доверенностей. Между ними можно переключаться прямо в приложении, без надоедливого выхода из аккаунта и повторного входа.

Важный момент — данные гражданина не сохраняются на устройстве сотрудника. После проверки доступ к ним не остаётся. То есть приложение показывает результат здесь и сейчас, а не превращает телефон проверяющего в маленький архив чужих персональных данных.

Пока «Госкан» доступен только на Android. Скачать приложение можно в RuStore, Google Play и AppGallery.

RSS: Новости на портале Anti-Malware.ru