Открит е метод за заразяване на DNS записи със зловреден софтуер

Киберпрестъпниците са измислили начин да скрият зловреден софтуер в записите на системата за имена на домейни (DNS), което позволява на тези вируси да останат незабелязани от защитните системи. За проблема съобщават експерти от DomainTools – те са открили зловредния софтуер Joke Screenmate в DNS записи.

Накратко казано, DNS е интернет адресна книга, която помага да се преобразуват имената на домейни в IP адреси. DNS записите са различни видове, включително тип TXT – те се използват за съхраняване на описателен текст. Хакерите са разбрали как да разбиват зловреден софтуер на малки кодирани фрагменти и да ги поставят в TXT DNS записи за различни поддомейни. Резултатът е нещо като цифров пъзел, разпръснат на различни адреси. Всяко парче само по себе си е безвредно, но ако ги съберете заедно, ще получите пълноценен зловреден файл.

Използвайки скриптове, нападателите принуждават компютъра на жертвата да прави запитвания към тези DNS записи и по този начин поправят зловредния софтуер, като остават извън обсега на инструментите за сигурност.

Обикновено DNS трафикът се счита за доверен и не предизвиква подозрения. Joke Screenmate е програма, която симулира системни грешки и предизвиква непредсказуемо поведение на курсора на мишката. По-неприятното е, че експертите на DomainTools са открили и подобен скрит PowerShell Stager скрипт, способен да изтегля и изпълнява по-опасен зловреден софтуер.

Съществуват и начини да се предпазите от подобни коварни атаки: експертите по сигурността препоръчват да се въведе наблюдение на DNS трафика, за да се открият необичайни модели и повтарящи се TXT заявки. Инструменти, които проверяват DNS записи извън обикновените функции за съвпадение на имена, както и инструменти за анализ на заплахи, включително анализи на злонамерени домейни и поддомейни също могат да помогнат. Все още не са идентифицирани реални атаки, основани на този метод, но предвид неговата простота и елегантност, това е само въпрос на време.