Detour Dog превратил DNS TXT в скрытый канал для атак и кражи данных

Detour Dog превратил DNS TXT в скрытый канал для атак и кражи данных

Detour Dog превратил DNS TXT в скрытый канал для атак и кражи данных

Исследователи рассказали о новой фазе кампании Detour Dog, которая с 2023 года использует тысячи взломанных сайтов для скрытых атак. Раньше злоумышленники просто перенаправляли пользователей на страницы с фейковой техподдержкой или партнёрские сети, но теперь схема стала куда сложнее — и опаснее.

Весной 2025-го Detour Dog впервые начал использовать DNS TXT-записи как канал управления.

Взломанные сайты делают серверные DNS-запросы, а в ответ получают команды вроде «down» с зашифрованными ссылками. Эти ссылки указывают на удалённые PHP-скрипты, которые подгружают вредоносные программы прямо на компьютеры жертв. Такой метод позволяет обойти привычные средства защиты: запросы уходят с сервера, а не из браузера пользователя.

Летом через эту схему стали распространять Strela Stealer — воришку данных, который попадает на устройство в несколько этапов: сначала загружается бэкдор StarFish, а затем через него уже вытягивается ZIP-архив с основным зловредом. По данным анализа, почти 70% серверов для подготовки атак находились под контролем Detour Dog.

 

Масштабы внушительные. Только за три дня в августе 2025 года зафиксировали свыше 4 млн DNS-запросов, а после блокировки одного из доменов атакующие буквально через часы запустили новый. В сумме за двое суток на подменные сервера ушло 39 млн TXT-запросов от 30 тысяч заражённых хостов в 89 странах. Любопытная деталь: среди закодированных IP-адресов попадались и подсети Минобороны США.

Detour Dog действует уже больше пяти лет и тесно связан с партнёрскими сетями Los Pollos, Help TDS и Monetizer TDS. Сейчас кампания объединяет классический фишинговый трафик и современную систему скрытой доставки зловредов через DNS, превращаясь в устойчивую инфраструктуру для атак.

Эксперты отмечают: отслеживание DNS TXT-запросов становится критически важным инструментом для обнаружения таких кампаний. Без этого заметить действия Detour Dog практически невозможно.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Модераторы Telegram блокируют по 100 вредоносных каналов в сутки

Сотрудник MIT Лекс Фридман, который ведет свой подкаст на YouTube, выложил в паблик интервью с Павлом Дуровым. В ходе беседы основатель Telegram отметил, что они ежедневно блокируют около100 каналов за пропаганду насилия и терроризма.

С учетом блокировки отдельных групп, аккаунтов и публикаций общий объем удаляемого контента, по словам Дурова, скоро достигнет 1 млн единиц в неделю.

«Мы активно боремся с вредоносным контентом, который публично распространяется на нашей платформе уже лет десять, с тех пор, как мы запустили публичные каналы,— заявил создатель популярного мессенджера. — И где-то лет восемь назад у нас появились ежедневные отчеты о прозрачности, где указано, сколько каналов, связанных с жестоким обращением с людьми, пропагандой терроризма, мы заблокировали».

В 2024 году в Telegram, по внутренним данным, было заблокировано 15,4 млн групп и каналов, нарушающих политику IM-сервиса и законы различных государств. Мессенджер активно сотрудничает с НКО Internet Watch Foundation в рамках борьбы с детской порнографией и распространением контента, связанного с насилием над детьми.

С начала этого года российские эксперты фиксируют всплеск активности модераторов в Telegram. Особенно часто закрываются чаты, через которые распространяются базы пользовательских данных; в результате число сливов ПДн россиян уменьшилось.

Минувшим летом в Telegram была запущена кампания по блокировке каналов, занимающихся доксингом (сбором и публикацией персональных данных с целью шантажа).

В то же время Дуров в своих заявлениях всегда подчеркивает: он не отказывается сотрудничать с правоохранительными органами, но душить свободу слова и блокировать политически ориентированные каналы по их указанию не намерен.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru