DNS-туннелирование как новый способ сканирования сети и отслеживания жертв

DNS-туннелирование как новый способ сканирования сети и отслеживания жертв

DNS-туннелирование как новый способ сканирования сети и отслеживания жертв

Хакеры начали использовать туннелирование системы доменных имен (DNS) для сканирования сетей на предмет потенциальных уязвимостей, а также для того, чтобы отслеживать, когда их жертвы открывают фишинговые письма и переходят по вредоносным ссылкам.

DNS-туннелирование превращает систему доменных имён (DNS) в оружие злоумышленников, кодируя данные или команды, которые отправляются и извлекаются через DNS-запросы. С его помощью хакеры могут скрытно взаимодействовать с компьютером жертвы, внедряя управляющие команды и данные в протокол DNS.

Существует несколько способов кодирования данных, например, с помощью набора символов Base16 или Base64, а также используя алгоритмы текстового кодирования, чтобы оставить возможность вернуть их при запросе записей DNS, таких как TXT, MX, CNAME и Address. В этом случае простые утилиты обнаружения угроз, осуществляющие поиск по открытому тексту, не смогут заметить такую кодировку.

Зачастую DNS-туннелирование используется злоумышленниками для обхода сетевых брандмауэров и фильтров, применяя эту технику для операций командования и контроля (C2) и виртуальных частных сетей (VPN)

Легитимные приложения DNS-туннелирования тоже существуют. Они могут применяться для обхода цензуры.

Фильтрация и внедрение данных с помощью туннелирования DNS

Источник: Unit 42

 

Дополнительное использование DNS-туннелирования во вредоносных кампаниях, связанных со сканированием сети и отслеживанием жертв, обнаружила исследовательская группа по безопасности Unit 42 компании Palo Alto Networks.

Первая обнаруженная кампания под названием «TrkCdn» направлена на отслеживание взаимодействия жертв с содержимым фишинговых писем.

В письмо добавлен контент, который при открытии выполняет DNS-запрос к контролируемым злоумышленниками поддоменам, FQDN которых содержит закодированный контент.

Например, 4e09ef9806fb9af448a5efcd60395815.trk.simitor[.]com. с 4e09ef9806fb9af448a5efcd60395815, являющимся хешем md5 для unit42@не-реального-домена[.]com., который преобразуется в CNAME для основного авторитетного сервера имен.

Специалисты поясняют, что даже если 

FQDN предназначены для разных целей, все они перенаправляются на один и тот же IP-адрес, используемый cdn.simitor[.]com.

Затем этот авторитетный сервер имен возвращает результат DNS, приводящий к серверу, находящемуся под контролем злоумышленника. Сервер хакера доставляет угодный злоумышленнику контент, например, рекламу, спам или фишинговый материал.

С помощью данного подхода хакеры могут оценить свои стратегии, доработать их и подтвердить доставку вредоносной полезной нагрузки своим жертвам.

Жизненный цикл доменов, используемых в операциях с TrkCdn

Источник: Unit 42

 

Специалисты Unit 42 в своем отчете также рассказали о похожей кампании, использующей DNS-туннелирование для отслеживания доставки спама, которая получила название «SpamTracker».

Исследователи обнаружили вторую кампанию «SecShow». Она использует DNS-туннелирование для сканирования сетевых инфраструктур.

Для того чтобы составить схему сети и обнаружить потенциальные уязвимости конфигурации, хакеры вставляют IP-адреса и временные метки в DNS-запросы. Злоумышленники используют бреши для проникновения, кражи данных или отказа в обслуживании.

DNS-запросы, используемые в этой кампании, периодически повторялись, чтобы обеспечить сбор данных в реальном времени и обнаружить изменения состояния.

Злоумышленники выбирают DNS-туннелирование вместо более традиционных методов из-за возможности обойти средства защиты, избежать обнаружения и сохранить универсальность операций.

Исследователи Unit 42 порекомендовали организациям внедрить средства мониторинга и анализа DNS. Это поможет отслеживать и анализировать журналы на предмет необычных моделей трафика и аномалий, например, нетипичные или большие объемы запросов.

К тому же, ограничив количество DNS-резольверов в сети, они будут обрабатывать только необходимые запросы, а это снизит вероятность злоупотребления DNS-туннелированием.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники крадут товары, выдавая себя за ПСК и Ozon

Злоумышленники под видом известных компаний совершили серию крупных краж, оформив закупки с помощью поддельных документов и используя подмену номеров телефонов. Аферисты выдавали себя за представителей легитимных организаций, предъявляли доверенности и добивались отгрузки товара. Используемые ими документы были высокого качества и не вызывали подозрений даже у опытных сотрудников.

Как сообщила «Фонтанка», мошенники оформили несколько крупных заказов от имени Петербургской сбытовой компании (ПСК). В частности, под видом сотрудников ПСК были приобретены 130 комплектов автомобильных шин и 20 тонн сливочного масла.

В обоих случаях за товаром приезжал якобы представитель ПСК и предъявлял доверенности на получение груза. Однако позже выяснилось, что ни почта, ни телефон, ни фамилия человека, забиравшего продукцию, не имели отношения к компании.

Номер телефона, с которого связывались аферисты, в приложении Getcontact отображался как принадлежащий ПСК. Поддельные документы были выполнены на высоком уровне: в случае с «покупкой» масла мошенники даже приложили протокол разногласий к договору, где указали неустойки за нарушение условий хранения продукции.

Между тем ещё в апреле на официальном сайте ПСК появилось предупреждение: «Информируем о новой мошеннической схеме. В адрес юридических лиц поступают письма об организации закупок от имени Петербургской сбытовой компании. Письма направляются с подложного почтового адреса: zakaz.pesc-opt.ru с указанием номеров телефонов, не принадлежащих Петербургской сбытовой компании».

ПСК — не единственная пострадавшая организация. Подобные случаи неоднократно фиксировались в отношении Ozon: от его имени злоумышленники вывозили компьютеры, промышленные пылесосы и стройматериалы в разных регионах страны. При этом также использовались поддельные документы и подменённые номера телефонов.

«Мы знаем о ситуации, при которой некие сторонние лица, представляясь компанией Ozon, обращаются к поставщикам с просьбой предоставить самые разные товары, в том числе с постоплатой, — сообщили изданию в пресс-службе маркетплейса. — Часто мошенники используют схожие по написанию домены и формируют письма-запросы на бланках с логотипом Ozon».

По данным «Фонтанки», на момент публикации ни одной из пострадавших компаний не удалось вернуть ни деньги, ни украденный товар.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru