Apr 27, 2023 Dario Orlandi Malware, Minacce, News, RSS 0

Infoblox ha annunciato di aver scoperto un nuovo toolkit malware pensato per colpire le aziende imprese, chiamato Decoy Dog. La nuova minaccia è stata individuata dopo aver riconosciuto e ispezionato traffico Dns anomalo, i cui pattern si distinguono dalla normale attività su Internet.

Decoy Dog è progettato per aiutare gli attaccanti a eludere i metodi di rilevamento standard attraverso tattiche come il domain aging e il dribbling delle query DNS, con l’obiettivo di costruirsi una reputazione presso i fornitori di sicurezza prima di passare all’azione.

I ricercatori di Infoblox hanno scoperto il toolkit all’inizio di aprile 2023, durante un’analisi che ha coinvolto oltre 70 miliardi di record DNS al giorno alla ricerca di segnali di attività anomale o sospette.

Fonte: Infoblox

Una traccia distintiva

L’azienda ha spiegato che il fingerpring DNS di Decoy Dog, un toolkit di accesso remoto distribuito dal trojan Pupy RAT, è estremamente raro e unico tra i 370 milioni di domini attivi su Internet; questo rende più facile la sua identificazione e il tracciamento.

Gli analisti hanno scoperto un comportamento di beaconing DNS distintivo su tutti i domini Decoy Dog, con richieste DNS generate periodicamente ma poco frequenti.

L’operazione Decoy Dog è stata scoperta dopo oltre un anno di attività, nonostante i domini del toolkit mostrassero valori anomali nell’analisi. Questa scoperta ha dimostrato l’importanza e l’efficacia dell’analisi dei dati su larga scala per rilevare attività anomale su internet.

L’indagine sull’infrastruttura di Decoy Dog ha portato alla scoperta di diversi domini C2 collegati alla stessa organizzazione; la maggior parte delle comunicazioni proviene da host situati in Russia.

Fonte: Infoblox

Decoy Dog è utilizzato per distribuire il toolkit Pupy RAT, uno strumento modulare, open source e popolare tra gli attori delle minacce state sponsored per la sua furtività, la crittografia delle comunicazioni C2 e la capacità di confondere il traffico con quello legittimo.

Pupy RAT supporta payload per tutti i principali sistemi operativi, consentendo agli attaccanti di eseguire comandi in remoto, elevare i privilegi, rubare credenziali e diffondersi lateralmente attraverso una rete.

I criminali meno esperti non utilizzano in genere Pupy RAT, poiché la distribuzione dello strumento con la corretta configurazione del server DNS per le comunicazioni C2 richiede conoscenze e competenze.

Infoblox ha condiviso indicatori di compromissione sul suo repository GitHub pubblico, che possono essere utilizzati per l’aggiunta manuale nelle blocklist.