Los hackers ocultan malware en los registros DNS para eludir la detección

Las investigadoras de ciberseguridad han descubierto una nueva y sigilosa técnica de hacking, que oculta malware dentro de los registros DNS.

Los atacantes utilizan esta técnica para evadir las herramientas de seguridad tradicionales al incrustar código peligroso en áreas que la mayoría de los sistemas no inspeccionan, tal como se informó por primera vez en ArsTechnica.

El Sistema de Nombres de Dominio (DNS) funciona como un sistema que convierte los nombres de los sitios web en direcciones IP. Ahora, los hackers utilizan el DNS como una solución de almacenamiento de datos poco ortodoxa.

Investigadores de DomainTools detectaron a atacantes incrustando malware dentro de los registros TXT del dominio whitetreecollective[.]com. Los registros, que sirven para probar la propiedad del sitio web, contenían numerosos fragmentos de texto pequeños que, una vez fusionados, formaban archivos maliciosos.

El malware incluía un archivo para “Joke Screenmate”, que funciona como un tipo de software molesto que interrumpe el uso normal del ordenador. Los atacantes transformaron el archivo en formato hexadecimal antes de distribuirlo a través de varios subdominios. Un administrador de red que tiene acceso al sistema puede recoger silenciosamente estos fragmentos a través de solicitudes de DNS que parecen inofensivas.

“Incluso las organizaciones sofisticadas con sus propios resolutores de DNS en la red tienen dificultades para diferenciar el tráfico auténtico de DNS de las solicitudes anómalas, por lo que es una ruta que se ha utilizado antes para actividades maliciosas”, dijo Ian Campbell, ingeniero senior de operaciones de seguridad en DomainTools, según lo informado por ArsTechnica.

“La proliferación de DOH y DOT contribuye a esto al cifrar el tráfico de DNS hasta que llega al resolvente, lo que significa que a menos que seas una de esas empresas que realiza tu propia resolución de DNS en la red, incluso no puedes decir qué es la solicitud, mucho menos si es normal o sospechosa”, añadió Campbell.

Campbell descubrió que ciertos registros de DNS servían como plataformas para ejecutar inyecciones rápidas ataques contra chatbots de IA. Estos comandos ocultos intentan engañar a los bots para que filtren datos o desobedezcan las reglas.

Dijo Campbell: “Al igual que el resto de Internet, DNS puede ser un lugar extraño y encantador.”