Muddling Meerkat: Gli Hacker Cinesi Manipolano il Great Firewall e i Record MX DNS

Redazione RHC : 5 Maggio 2024 08:17

Gli specialisti di Infoblox hanno scoperto gli aggressori, a cui è stato dato il nome Muddling Meerkat. I ricercatori ritengono che si tratti di hacker “governativi” cinesi che scansionano le reti DNS in tutto il mondo dal 2019, inviando un numero enorme di query attraverso risolutori DNS aperti.

Dopo aver vagliato enormi quantità di dati DNS, i ricercatori hanno notato attività che secondo loro potrebbero facilmente passare inosservate o apparire innocue.

Il fatto è che un aspetto notevole dell’attività di Muddling Meerkat è la manipolazione dei record MX (Mail Exchange), per i quali gli hacker inseriscono risposte false nel Great Firewall cinese. I ricercatori non avevano mai osservato in precedenza questo utilizzo del sistema cinese per la censura di Internet.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Muddling Meerkat manipola le query e le risposte DNS interferendo con il meccanismo mediante il quale i risolutori restituiscono gli indirizzi IP. Ciò può innescare false risposte da parte del Great Firewall cinese, portando a modifiche del routing e al potenziale reindirizzamento della posta elettronica.

In genere, il ruolo del Great Firewall of China è quello di filtrare e bloccare i contenuti intercettando le richieste DNS e fornendo risposte non valide che reindirizzano gli utenti lontano da determinati siti. L’attività confusa di Meerkat fa sì che il sistema produca risposte fittizie, che vengono infine utilizzate per studiare la tolleranza agli errori e il comportamento di altre reti.

“Il Great Firewall of China può essere descritto come un operatore laterale, nel senso che non modifica direttamente le risposte DNS, ma invece inietta le proprie risposte, inserendo una condizione di competizione con qualsiasi risposta dal destinatario originale. Quando un richiedente riceve per la prima volta una risposta dal Great Firewall cinese, è in grado di avvelenare la sua cache DNS. Oltre a questo, il firewall utilizza un sistema chiamato Great Cannon. Si tratta di un sistema di tipo operator-in-the-middle che consente di modificare i pacchetti nel percorso verso la loro destinazione”, scrivono gli esperti.

Per offuscare ulteriormente le sue azioni, Muddling Meerkat effettua query DNS su sottodomini casuali di domini di destinazione, che spesso non esistono. Sebbene tutto ciò assomigli a un attacco DDoS Slow Drip, Infoblox osserva che nel caso di Muddling Meerkat, le richieste sono di piccole dimensioni e mirate più ai test.

Inoltre, gli aggressori utilizzano risolutori aperti per mascherare la propria attività e interagire con risolutori sia autorevoli che ricorsivi.

“Le risposte confuse di Meerkat MX possono essere osservate solo nei dati raccolti al di fuori della normale catena di risoluzione DNS perché la fonte delle risposte non è un risolutore DNS, ma un indirizzo IP cinese casuale”, osserva Infoblox.

Secondo l’azienda, Muddling Meerkat seleziona soprattutto domini con nomi brevi registrati prima del 2000, il che riduce la probabilità di essere inseriti nella lista nera.

Per quanto riguarda gli obiettivi di Muddling Meerkat, si ritiene che il gruppo possa mappare le reti e valutare la sicurezza DNS per pianificare attacchi futuri. Oppure l’obiettivo degli hacker potrebbe essere quello di creare rumore DNS, che aiuta a nascondere attività più pericolose e confondere gli amministratori che cercano di determinare l’origine delle query DNS anomale.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli