Gli Hacker Nascondono Malware nei Record DNS per Eludere il Rilevamento

I ricercatori di cybersecurity hanno scoperto una nuova, furtiva tecnica di hacking, che nasconde malware all’interno dei record DNS.

Gli aggressori utilizzano questa tecnica per eludere gli strumenti di sicurezza tradizionali, incorporando codici pericolosi in aree che la maggior parte dei sistemi non ispeziona, come riportato per la prima volta da ArsTechnica.

Il sistema di nomi di dominio (DNS) funziona come un sistema che converte i nomi dei siti web in indirizzi IP. Ora gli hacker utilizzano il DNS come una soluzione di archiviazione dei dati non convenzionale.

I ricercatori di DomainTools hanno rilevato attacchi che incorporano malware all’interno dei record TXT del dominio whitetreecollective[.]com. I record, che servono a dimostrare la proprietà del sito web, contenevano numerosi piccoli frammenti di testo che, una volta uniti, formavano file malevoli.

Il malware includeva un file per “Joke Screenmate”, che funziona come un tipo di software fastidioso che interrompe l’uso normale del computer. Gli aggressori hanno trasformato il file in formato esadecimale prima di distribuirlo attraverso vari sottodomini. Un amministratore di rete che ha accesso al sistema può raccogliere silenziosamente questi pezzi attraverso richieste DNS che appaiono innocue.

“Anche le organizzazioni sofisticate con i loro risolutori DNS in rete fanno fatica a distinguere il traffico DNS autentico dalle richieste anomale, quindi è una via che è stata usata prima per attività malevole”, ha detto Ian Campbell, ingegnere senior delle operazioni di sicurezza presso DomainTools, come riportato da ArsTechnica.

“La proliferazione di DOH e DOT contribuisce a ciò cifrando il traffico DNS fino a quando non raggiunge il resolver, il che significa che a meno che tu non sia una di quelle aziende che gestisce la tua risoluzione DNS in rete, non riesci nemmeno a capire qual è la richiesta, figuriamoci se è normale o sospetta,” ha aggiunto Campbell.

Campbell ha scoperto che certi record DNS funzionavano come piattaforme per eseguire attacchi di iniezione di sollecitazione contro i chatbot AI. Questi comandi nascosti cercano di ingannare i bot per far trapelare dati o infrangere le regole.

Ha detto Campbell: “Come il resto di Internet, il DNS può essere un luogo strano e affascinante.”