Detour Dog превратил DNS TXT в скрытый канал для атак и кражи данных

Detour Dog превратил DNS TXT в скрытый канал для атак и кражи данных

Detour Dog превратил DNS TXT в скрытый канал для атак и кражи данных

Исследователи рассказали о новой фазе кампании Detour Dog, которая с 2023 года использует тысячи взломанных сайтов для скрытых атак. Раньше злоумышленники просто перенаправляли пользователей на страницы с фейковой техподдержкой или партнёрские сети, но теперь схема стала куда сложнее — и опаснее.

Весной 2025-го Detour Dog впервые начал использовать DNS TXT-записи как канал управления.

Взломанные сайты делают серверные DNS-запросы, а в ответ получают команды вроде «down» с зашифрованными ссылками. Эти ссылки указывают на удалённые PHP-скрипты, которые подгружают вредоносные программы прямо на компьютеры жертв. Такой метод позволяет обойти привычные средства защиты: запросы уходят с сервера, а не из браузера пользователя.

Летом через эту схему стали распространять Strela Stealer — воришку данных, который попадает на устройство в несколько этапов: сначала загружается бэкдор StarFish, а затем через него уже вытягивается ZIP-архив с основным зловредом. По данным анализа, почти 70% серверов для подготовки атак находились под контролем Detour Dog.

 

Масштабы внушительные. Только за три дня в августе 2025 года зафиксировали свыше 4 млн DNS-запросов, а после блокировки одного из доменов атакующие буквально через часы запустили новый. В сумме за двое суток на подменные сервера ушло 39 млн TXT-запросов от 30 тысяч заражённых хостов в 89 странах. Любопытная деталь: среди закодированных IP-адресов попадались и подсети Минобороны США.

Detour Dog действует уже больше пяти лет и тесно связан с партнёрскими сетями Los Pollos, Help TDS и Monetizer TDS. Сейчас кампания объединяет классический фишинговый трафик и современную систему скрытой доставки зловредов через DNS, превращаясь в устойчивую инфраструктуру для атак.

Эксперты отмечают: отслеживание DNS TXT-запросов становится критически важным инструментом для обнаружения таких кампаний. Без этого заметить действия Detour Dog практически невозможно.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky для Android научился блокировать фишинг в уведомлениях

Мобильное приложение Kaspersky для Android получило обновление с новой функцией — теперь оно умеет находить подозрительные ссылки во всплывающих уведомлениях. Речь идёт о сообщениях из СМС и мессенджеров, включая Telegram и MAX.

Если в уведомлении окажется фишинговая ссылка, программа её скроет и предупредит пользователя об опасности. Оповещение будет показано как пуш-уведомление и внутри самого приложения.

Чтобы включить опцию, нужно:

  1. Зайти в меню «Все функции → Защита чатов → Проверять уведомления».
  2. Разрешить доступ к уведомлениям в настройках устройства.

 

Таким образом, защита теперь работает на трёх уровнях:

  • проверка ссылок в уведомлениях;
  • фильтрация сообщений в СМС и мессенджерах;
  • проверка ссылок при серфинге в браузере.

По данным исследователей, в первой половине 2025 года на Android-устройствах было заблокировано более 2 млн попыток перехода по фишинговым и мошенническим ссылкам. Эксперты отмечают, что злоумышленники всё чаще используют ИИ, чтобы их схемы выглядели убедительнее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru