Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Apr 27, 2023 Dario Orlandi Malware, Minacce, News, RSS 0
Infoblox ha annunciato di aver scoperto un nuovo toolkit malware pensato per colpire le aziende imprese, chiamato Decoy Dog. La nuova minaccia è stata individuata dopo aver riconosciuto e ispezionato traffico Dns anomalo, i cui pattern si distinguono dalla normale attività su Internet.
Decoy Dog è progettato per aiutare gli attaccanti a eludere i metodi di rilevamento standard attraverso tattiche come il domain aging e il dribbling delle query DNS, con l’obiettivo di costruirsi una reputazione presso i fornitori di sicurezza prima di passare all’azione.
I ricercatori di Infoblox hanno scoperto il toolkit all’inizio di aprile 2023, durante un’analisi che ha coinvolto oltre 70 miliardi di record DNS al giorno alla ricerca di segnali di attività anomale o sospette.
Fonte: Infoblox
L’azienda ha spiegato che il fingerpring DNS di Decoy Dog, un toolkit di accesso remoto distribuito dal trojan Pupy RAT, è estremamente raro e unico tra i 370 milioni di domini attivi su Internet; questo rende più facile la sua identificazione e il tracciamento.
Gli analisti hanno scoperto un comportamento di beaconing DNS distintivo su tutti i domini Decoy Dog, con richieste DNS generate periodicamente ma poco frequenti.
L’operazione Decoy Dog è stata scoperta dopo oltre un anno di attività, nonostante i domini del toolkit mostrassero valori anomali nell’analisi. Questa scoperta ha dimostrato l’importanza e l’efficacia dell’analisi dei dati su larga scala per rilevare attività anomale su internet.
L’indagine sull’infrastruttura di Decoy Dog ha portato alla scoperta di diversi domini C2 collegati alla stessa organizzazione; la maggior parte delle comunicazioni proviene da host situati in Russia.
Fonte: Infoblox
Decoy Dog è utilizzato per distribuire il toolkit Pupy RAT, uno strumento modulare, open source e popolare tra gli attori delle minacce state sponsored per la sua furtività, la crittografia delle comunicazioni C2 e la capacità di confondere il traffico con quello legittimo.
Pupy RAT supporta payload per tutti i principali sistemi operativi, consentendo agli attaccanti di eseguire comandi in remoto, elevare i privilegi, rubare credenziali e diffondersi lateralmente attraverso una rete.
I criminali meno esperti non utilizzano in genere Pupy RAT, poiché la distribuzione dello strumento con la corretta configurazione del server DNS per le comunicazioni C2 richiede conoscenze e competenze.
Infoblox ha condiviso indicatori di compromissione sul suo repository GitHub pubblico, che possono essere utilizzati per l’aggiunta manuale nelle blocklist.
Lug 01, 2024 0
Giu 17, 2024 0
Mag 10, 2024 0
Gen 09, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...