Заплаха, наречена Savvy Seahorse, злоупотребява със CNAME DNS записи Domain Name System, за да създаде система за разпределение на трафика, която захранва кампании за финансови измами.

Извършителят на заплахата се насочва към жертвите чрез реклами във Facebook, които ги насочват към фалшиви инвестиционни платформи, където те са подмамени да депозират средства и да въведат чувствителни лични данни.

Забележителен аспект на тези кампании е, че те включват чатботове, които взаимодействат директно с жертвите, за да ги убедят във високата възвръщаемост на инвестициите, автоматизирайки процеса на измама за нападателите.

Изследователите на Infoblox, които са открили тази операция, казват, че тя е в ход поне от август 2021 г., като се проявява в кратки вълни от атаки, които продължават между пет и десет дни.

Използване на DNS CNAME записи като TDS

Savvy Seahorse креативно използва записите за канонични имена (CNAME) като система за разпределение на трафика (TDS) за своите операции, което позволява на  заплахите лесно да управляват промените, като например да извършват ротация на IP адреси, която подобрява избягването на откриване.

Записът CNAME е DNS запис, който съпоставя домейн или поддомейн с друго име на домейн, вместо директно с IP адрес.

По този начин CNAME действа като псевдоним на целевия домейн, което улеснява управлението на пренасочванията и гарантира, че всички промени в IP адреса на целевия домейн автоматично се прилагат и към CNAME.

Диаграма на IP резолюция (Infoblox)

Savvy Seahorse регистрира множество поддомейни за своите атакуващи вълни, които споделят общ CNAME запис, свързващ ги с основния/базов домейн на кампанията, например „b36cname[.]site“.

Това позволява всички тези CNAME записи да имат един и същ IP адрес, наследен от поддомейна на „b36cname[.]site“, както е показано по-долу.

Тази техника дава възможност за ротация към нови дестинации, когато софтуерът за сигурност блокира определен IP адрес или за предотвратяване на откриването му, без да се променят DNS настройките на атакувания домейн.

От Infoblox твърдят, че това е първият публично съобщен случай на злоупотреба с DNS CNAME за TDS, макар че най-вероятно не се случва за първи път, затова са решили да нарекат метода „CNAME TDS“.

„Savvy Seahorse е първият публично докладван случай на заплаха, при който се злоупотребява с DNS CNAME като част от злонамерен TDS“, обяснява Infoblox.

„Макар че това изисква повече усъвършенстване на DNS от страна на субекта на заплаха, то не е необичайно – просто не е признато до този момент в литературата по сигурността.“

Използвайки алгоритми за генериране на домейни (DGA), Savvy Seahorse създава и управлява хиляди домейни, използвани в системата CNAME TDS.

Акторът на заплахата използва wildcard DNS отговори, за да променя статуса на тези домейни от „паркиран“, „в тестване“ и в „активна кампания“, което затруднява проследяването и картографирането на неговата инфраструктура.

Преглед на тактиките на Seahorse (Infoblox)

Освен това, за разлика от повечето заплахи, Savvy Seahorse разпространява инфраструктурата си в множество регистратори и доставчици на хостинг, което помага както за избягване на атрибуцията, така и за постигане на оперативна устойчивост.

Подробности за кампанията

Savvy Seahorse популяризира инвестиционни измами с примамки, написани на английски, руски, полски, италиански, немски, френски, испански, чешки и турски език, което показва, че заплахата е насочена в световен мащаб.

На злонамерените поддомейни, използвани при атаките, се разполагат регистрационни формуляри, предназначени за кражба на лична информация на измамените жертви.

Образци на измамни Измамни регистрационни формуляри (Infoblox)

След като тези данни бъдат подадени, вторичен домейн потвърждава местоположението на жертвата въз основа на нейния IP адрес и легитимността на предоставената информация и пренасочва одобрените потребители към фалшива платформа за търговия.

Там жертвите могат да изберат да попълнят инвестиционните си баланси, като използват кредитни карти, криптовалута и други методи за плащане.

Една от фалшивите платформи, използвани в кампанията (Infoblox)

Чатботовете, представящи се за ChatGPT, WhatsApp и Tesla, наред с други добре познати организации, увеличават привидната легитимност и играят важна роля в аспекта на социалното инженерство на атаката.

Infoblox твърди, че злонамерените страници използват и проследяващи устройства Meta Pixel за проследяване на производителността, които вероятно се използват за усъвършенстване на тактиката.