Il malware TrickBot continua a dimostrare la propria capacità di adattamento nonostante sia una delle minacce più conosciute e analizzate degli ultimi anni.
I ricercatori di FortiGuard Labs hanno individuato una nuova variante del malware caratterizzata dall’utilizzo del DNS tunneling come metodo di comunicazione con l’infrastruttura di comando e controllo (C2), tecnica che consente agli attaccanti di nascondere lo scambio di dati all’interno del normale traffico DNS.
La scoperta conferma come i gruppi criminali possono modificare componenti e meccanismi di comunicazione per aggirare i sistemi di sicurezza e rendere più complessa l’attività di rilevamento.
Indice degli argomenti
Il DNS diventa un canale nascosto per i comandi
Il protocollo DNS rappresenta un elemento fondamentale per il funzionamento delle reti informatiche perché permette la risoluzione dei nomi di dominio negli indirizzi IP. Proprio questa sua caratteristica lo rende interessante per gli attaccanti, che possono sfruttarlo come canale alternativo per comunicare con i sistemi compromessi.
Nella variante analizzata da Fortinet, il malware TrickBot non invia direttamente richieste HTTP o HTTPS verso il server C2, ma incapsula i dati all’interno delle normali interrogazioni DNS.
Prima della trasmissione al server C2, i dati delle richieste di comando e controllo di TrickBot (tipo di pacchetto 0x30 e 0x31) vengono cifrati mediante una semplice operazione XOR, convertiti in formato esadecimale e suddivisi in piccoli blocchi. Ogni blocco viene quindi inserito come sottodominio della richiesta DNS, rispettando i limiti imposti dal protocollo.
Come si vede nella figura sottostante, il falso nome di dominio da incorporare nel traffico DNS risulta costituito sempre dalla stringa formattata (variabile) anteposta al dominio (costante) decrittografato “.westurn.in”.
Fonte: FortiGuard Labs.
Quando il resolver DNS inoltra la richiesta al dominio controllato dagli attaccanti, il server C2 decodifica i dati ricevuti e prepara i dati di risposta da inviare a TrickBot in ascolto sul sistema compromesso (Tipo di pacchetto 0x32).
Anziché limitarsi a restituire un normale indirizzo IP, utilizza i campi della risposta DNS per trasportare nuove informazioni. Nel campione analizzato, i dati vengono codificati direttamente negli indirizzi IPv4 restituiti al client.
Fonte: FortiGuard Labs.
Il malware riceve la risposta, estrae le informazioni dai valori degli indirizzi IP, ricompone i frammenti nell’ordine corretto, li decifra e ottiene così i comandi da eseguire.
Questo meccanismo consente agli operatori della minaccia di impartire istruzioni, aggiornare la configurazione del malware, richiedere l’esfiltrazione di ulteriori dati oppure ordinare il download di moduli aggiuntivi senza ricorrere ai tradizionali protocolli web (questa variante di TrickBot supporterebbe ben 12 comandi di controllo della risposta).
Dal punto di vista del traffico di rete, le comunicazioni assomigliano a normali interrogazioni DNS, rendendo più difficile distinguerle dal traffico legittimo e aumentando le probabilità che il malware rimanga operativo più a lungo senza essere rilevato.
Persistenza e tecniche per nascondere la presenza nel sistema
Per mantenere il controllo del dispositivo infetto, TrickBot utilizza tecniche di persistenza basate sulle funzionalità native di Windows. Una delle metodologie adottate consiste nella creazione di attività pianificate tramite Windows Task Scheduler, consentendo al malware di riavviarsi automaticamente e continuare la propria attività anche dopo il riavvio del sistema.
La variante analizzata utilizza inoltre tecniche di occultamento dei dati attraverso gli NTFS Alternate Data Streams (ADS), una funzionalità del file system Windows che permette di memorizzare informazioni aggiuntive associate a un file senza renderle immediatamente visibili agli utenti.
Questi strumenti dimostrano come i malware moderni sfruttino sempre più spesso funzionalità legittime del sistema operativo per confondersi con le normali attività del computer.
Il ritorno del DNS tunneling nelle strategie criminali
L’utilizzo del DNS come canale di comando e controllo non è una tecnica nuova nel panorama delle minacce informatiche. Tuttavia, il suo impiego continua a rappresentare una soluzione efficace per gli attaccanti perché il traffico DNS è generalmente consentito nelle reti aziendali.
Bloccare completamente questo protocollo non è infatti possibile senza compromettere il normale funzionamento dei servizi digitali. Per questo motivo gli aggressori possono sfruttarlo come canale nascosto, soprattutto quando riescono a generare richieste che imitano il comportamento del traffico legittimo.
La comparsa di questa nuova variante di TrickBot evidenzia l’importanza di un approccio basato sull’analisi comportamentale. Il semplice controllo degli indirizzi malevoli conosciuti può non essere sufficiente contro minacce che modificano frequentemente la propria infrastruttura.
Le aziende dovrebbero monitorare il traffico DNS individuando anomalie come richieste verso domini insoliti, nomi DNS con elevata casualità, frequenze anomale di interrogazioni o grandi quantità di dati trasferiti attraverso richieste apparentemente normali.
Partecipa alla community