Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Gli hacker hanno imparato a nascondere il malware in luoghi dove è praticamente impossibile tracciarlo: nei record DNS che collegano i nomi di dominio agli indirizzi IP. Questa tecnica consente di scaricare file binari dannosi senza visitare siti sospetti o utilizzare allegati email facilmente bloccabili dai software antivirus. Il traffico DNS viene spesso ignorato dalla maggior parte delle soluzioni di sicurezza.
Come riportato dai ricercatori di DomainTools, è stato registrato l’utilizzo di questa tecnica per distribuire il malware Joke Screenmate , un software intrusivo che interferisce con il normale funzionamento di un computer. Il suo codice binario è stato convertito in formato esadecimale e suddiviso in centinaia di frammenti. Questi frammenti sono stati inseriti nei record TXT dei sottodomini della risorsa whitetreecollective[.]com, ovvero il campo di testo del record DNS, comunemente utilizzato, ad esempio, per confermare la proprietà del dominio quando ci si connette a Google Workspace.
Una volta all’interno di una rete sicura, un aggressore può inviare query DNS apparentemente innocue, raccogliendo frammenti di malware e ripristinandoli in formato binario. Questo schema è particolarmente efficace nel contesto delle diffuse tecnologie di crittografia delle query DNS: DNS over HTTPS (DOH) e DNS over TLS (DOT) . Tali protocolli rendono il traffico opaco finché non raggiunge il resolver DNS interno.
“Anche le grandi aziende con i propri resolver hanno difficoltà a distinguere il traffico DNS legittimo da quello anomalo”, ha affermato Ian Campbell, ingegnere di DomainTools. Ha aggiunto che la situazione sta diventando ancora più complessa con l’ascesa di DOH e DOT, soprattutto per le organizzazioni che non utilizzano il routing interno delle richieste DNS.
Un metodo simile è stato a lungo utilizzato per passare script di PowerShell tramite DNS, ad esempio su un sottodominio 15392.484f5fa5d2.dnsm.in.drsmitty[.]com: un altro esempio di utilizzo di record TXT per attività dannose. In un altro post, il blog di Asher Falcon descrive un metodo per recuperare file da record TXT in cui il malware è codificato come testo. Questo permette al malware di essere distribuito anche tramite servizi che non consentono il download di file binari.
L’attenzione dei ricercatori è stata inoltre attirata dai record DNS contenenti stringhe per attacchi ai modelli di intelligenza artificiale, i cosiddetti prompt injection . Questi attacchi consentono di incorporare istruzioni nascoste nei documenti analizzati dal modello LLM. Tali comandi possono essere interpretati come query valide, aprendo la strada alla manipolazione del comportamento dell’intelligenza artificiale.
Tra gli indizi trovati:
Campbell osserva: “Come il resto di Internet, il DNS può essere un posto strano e affascinante.”
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Innovazione
Cybercrime
Vulnerabilità
Innovazione