1
• Исследователи DomainTools выкатили интересный материал, в котором описывают метод распространения вредоносного ПО внутри DNS‑записей. Эта техника использует DNS как необычное хранилище файлов. Эксперты объясняют, что трафик DNS lookup'ов практически не контролируется большинством защитных инструментов.
• Как выяснилось, DNS используется для размещения вредоносных бинарников малвари Joke Screenmate, которая отображает в системе жертвы фейковые ошибки и предупреждения, генерирует пугающие анимации вроде удаляющихся файлов, а также мешает управлению курсором и тормозит систему.
• Сначала файл Joke Screenmate был преобразован в шестнадцатеричный формат, затем разбит на сотни фрагментов. Каждый фрагмент поместили в TXT‑запись, где можно хранить любой произвольный текст. Эти записи обычно используют для подтверждения права владения сайтом, например, при настройке Google Workspace. В итоге злоумышленник, которому удалось проникнуть в защищенную сеть, может извлечь эти фрагменты с помощью серии DNS-запросов, собрать их воедино и снова преобразовать в двоичный формат. Такая техника позволяет извлекать малварь через трафик, который сложно отслеживать.
• Инженер по безопасности из DomainTools Иэн Кэмпбелл пояснил: даже крупные организации с собственными DNS‑серверами часто не могут отличить обычный трафик от подозрительного. Протоколы DOH и DOT шифруют DNS‑запросы до момента их обработки. Это значит, что если организация не контролирует свои DNS‑запросы внутри сети, то она не видит содержимое запроса.
• Метод внедрения вредоносных скриптов через DNS известен специалистам уже почти 10 лет. Ранее через TXT‑записи распространялись вредоносные PowerShell‑скрипты. Однако новый способ с использованием шестнадцатеричного кода пока применялся редко.
• Кстати, эксперты еще нашли DNS‑записи с текстами, предназначенными для атак на чат‑ботов ИИ. Эти атаки известны как prompt injection. Вредоносный текст внедряется в документы, которые анализирует ИИ. Большие языковые модели не всегда могут отличить команды от пользователя от встроенных инструкций из внешних источников. Примеры команд на скриншоте выше.
➡ https://arstechnica.com/security/dns-records
#Новости