Muddling Meerkat: Gli Hacker Cinesi Manipolano il Great Firewall e i Record MX DNS

Redazione RHC : 5 Maggio 2024 08:17

Gli specialisti di Infoblox hanno scoperto gli aggressori, a cui è stato dato il nome Muddling Meerkat. I ricercatori ritengono che si tratti di hacker “governativi” cinesi che scansionano le reti DNS in tutto il mondo dal 2019, inviando un numero enorme di query attraverso risolutori DNS aperti.

Dopo aver vagliato enormi quantità di dati DNS, i ricercatori hanno notato attività che secondo loro potrebbero facilmente passare inosservate o apparire innocue.

Il fatto è che un aspetto notevole dell’attività di Muddling Meerkat è la manipolazione dei record MX (Mail Exchange), per i quali gli hacker inseriscono risposte false nel Great Firewall cinese. I ricercatori non avevano mai osservato in precedenza questo utilizzo del sistema cinese per la censura di Internet.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Muddling Meerkat manipola le query e le risposte DNS interferendo con il meccanismo mediante il quale i risolutori restituiscono gli indirizzi IP. Ciò può innescare false risposte da parte del Great Firewall cinese, portando a modifiche del routing e al potenziale reindirizzamento della posta elettronica.

In genere, il ruolo del Great Firewall of China è quello di filtrare e bloccare i contenuti intercettando le richieste DNS e fornendo risposte non valide che reindirizzano gli utenti lontano da determinati siti. L’attività confusa di Meerkat fa sì che il sistema produca risposte fittizie, che vengono infine utilizzate per studiare la tolleranza agli errori e il comportamento di altre reti.

“Il Great Firewall of China può essere descritto come un operatore laterale, nel senso che non modifica direttamente le risposte DNS, ma invece inietta le proprie risposte, inserendo una condizione di competizione con qualsiasi risposta dal destinatario originale. Quando un richiedente riceve per la prima volta una risposta dal Great Firewall cinese, è in grado di avvelenare la sua cache DNS. Oltre a questo, il firewall utilizza un sistema chiamato Great Cannon. Si tratta di un sistema di tipo operator-in-the-middle che consente di modificare i pacchetti nel percorso verso la loro destinazione”, scrivono gli esperti.

Per offuscare ulteriormente le sue azioni, Muddling Meerkat effettua query DNS su sottodomini casuali di domini di destinazione, che spesso non esistono. Sebbene tutto ciò assomigli a un attacco DDoS Slow Drip, Infoblox osserva che nel caso di Muddling Meerkat, le richieste sono di piccole dimensioni e mirate più ai test.

Inoltre, gli aggressori utilizzano risolutori aperti per mascherare la propria attività e interagire con risolutori sia autorevoli che ricorsivi.

“Le risposte confuse di Meerkat MX possono essere osservate solo nei dati raccolti al di fuori della normale catena di risoluzione DNS perché la fonte delle risposte non è un risolutore DNS, ma un indirizzo IP cinese casuale”, osserva Infoblox.

Secondo l’azienda, Muddling Meerkat seleziona soprattutto domini con nomi brevi registrati prima del 2000, il che riduce la probabilità di essere inseriti nella lista nera.

Per quanto riguarda gli obiettivi di Muddling Meerkat, si ritiene che il gruppo possa mappare le reti e valutare la sicurezza DNS per pianificare attacchi futuri. Oppure l’obiettivo degli hacker potrebbe essere quello di creare rumore DNS, che aiuta a nascondere attività più pericolose e confondere gli amministratori che cercano di determinare l’origine delle query DNS anomale.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli