Търсене
Close this search box.

Savvy Seahorse използва DNS CNAME записи, за да захранва измами на инвеститори

Заплаха, наречена Savvy Seahorse, злоупотребява със CNAME DNS записи Domain Name System, за да създаде система за разпределение на трафика, която захранва кампании за финансови измами.

Извършителят на заплахата се насочва към жертвите чрез реклами във Facebook, които ги насочват към фалшиви инвестиционни платформи, където те са подмамени да депозират средства и да въведат чувствителни лични данни.

Забележителен аспект на тези кампании е, че те включват чатботове, които взаимодействат директно с жертвите, за да ги убедят във високата възвръщаемост на инвестициите, автоматизирайки процеса на измама за нападателите.

Изследователите на Infoblox, които са открили тази операция, казват, че тя е в ход поне от август 2021 г., като се проявява в кратки вълни от атаки, които продължават между пет и десет дни.

Използване на DNS CNAME записи като TDS

Savvy Seahorse креативно използва записите за канонични имена (CNAME) като система за разпределение на трафика (TDS) за своите операции, което позволява на  заплахите лесно да управляват промените, като например да извършват ротация на IP адреси, която подобрява избягването на откриване.

Записът CNAME е DNS запис, който съпоставя домейн или поддомейн с друго име на домейн, вместо директно с IP адрес.

По този начин CNAME действа като псевдоним на целевия домейн, което улеснява управлението на пренасочванията и гарантира, че всички промени в IP адреса на целевия домейн автоматично се прилагат и към CNAME.

IP resolution diagram
Диаграма на IP резолюция (Infoblox)

Savvy Seahorse регистрира множество поддомейни за своите атакуващи вълни, които споделят общ CNAME запис, свързващ ги с основния/базов домейн на кампанията, например „b36cname[.]site“.

Това позволява всички тези CNAME записи да имат един и същ IP адрес, наследен от поддомейна на „b36cname[.]site“, както е показано по-долу.Diagram

Тази техника дава възможност за ротация към нови дестинации, когато софтуерът за сигурност блокира определен IP адрес или за предотвратяване на откриването му, без да се променят DNS настройките на атакувания домейн.

От Infoblox твърдят, че това е първият публично съобщен случай на злоупотреба с DNS CNAME за TDS, макар че най-вероятно не се случва за първи път, затова са решили да нарекат метода „CNAME TDS“.

„Savvy Seahorse е първият публично докладван случай на заплаха, при който се злоупотребява с DNS CNAME като част от злонамерен TDS“, обяснява Infoblox.

„Макар че това изисква повече усъвършенстване на DNS от страна на субекта на заплаха, то не е необичайно – просто не е признато до този момент в литературата по сигурността.“

Използвайки алгоритми за генериране на домейни (DGA), Savvy Seahorse създава и управлява хиляди домейни, използвани в системата CNAME TDS.

Акторът на заплахата използва wildcard DNS отговори, за да променя статуса на тези домейни от „паркиран“, „в тестване“ и в „активна кампания“, което затруднява проследяването и картографирането на неговата инфраструктура.

Overview of Seahorse's tactics
Преглед на тактиките на Seahorse (Infoblox)

Освен това, за разлика от повечето заплахи, Savvy Seahorse разпространява инфраструктурата си в множество регистратори и доставчици на хостинг, което помага както за избягване на атрибуцията, така и за постигане на оперативна устойчивост.

Подробности за кампанията

Savvy Seahorse популяризира инвестиционни измами с примамки, написани на английски, руски, полски, италиански, немски, френски, испански, чешки и турски език, което показва, че заплахата е насочена в световен мащаб.

На злонамерените поддомейни, използвани при атаките, се разполагат регистрационни формуляри, предназначени за кражба на лична информация на измамените жертви.

 

Samples of the fraudulent registration formsОбразци на измамни Измамни регистрационни формуляри (Infoblox)

След като тези данни бъдат подадени, вторичен домейн потвърждава местоположението на жертвата въз основа на нейния IP адрес и легитимността на предоставената информация и пренасочва одобрените потребители към фалшива платформа за търговия.

Там жертвите могат да изберат да попълнят инвестиционните си баланси, като използват кредитни карти, криптовалута и други методи за плащане.

One of the fake platforms used in the campaign

Една от фалшивите платформи, използвани в кампанията (Infoblox)

Чатботовете, представящи се за ChatGPT, WhatsApp и Tesla, наред с други добре познати организации, увеличават привидната легитимност и играят важна роля в аспекта на социалното инженерство на атаката.

Infoblox твърди, че злонамерените страници използват и проследяващи устройства Meta Pixel за проследяване на производителността, които вероятно се използват за усъвършенстване на тактиката.

 

 

Източник: По материали от Интернет

Подобни публикации

18 април 2024

Вариант на LockBit 3.0 генерира персонализиран,...

Изследователите на Kaspersky са открили новия вариант, след като са...
18 април 2024

Групата "Sandworm" е основното звено за киберат...

Но дори и да се е фокусирала върху това, сложната група за заплахи ...
18 април 2024

Apple предупреждава потребителите в 150 държави...

В ново уведомление за заплахи Apple посочва доставчика на Pegasus N...
17 април 2024

Приложението Copilot на Windows Server е добаве...

Microsoft твърди, че новото приложение Copilot, погрешно добавено в...
17 април 2024

Последни тенденции при зловредния софтуер

В днешната дигитална ера киберсигурността се превърна в постоянна г...
17 април 2024

FTC налага глоби на стартъпа за психично здраве...

Федералната търговска комисия на САЩ (FTC) разпореди на компанията ...
Бъдете социални
Още по темата
15/04/2024

CP3O е арестуван

Министерството на правосъдието на САЩ обяви...
13/04/2024

Подъл скимер на кредитни ка...

Изследователи в областта на киберсигурността са...
02/04/2024

Индия спасява 250 граждани,...

Индийското правителство съобщи, че е спасило...
Последно добавени
18/04/2024

Вариант на LockBit 3.0 гене...

Изследователите на Kaspersky са открили новия...
18/04/2024

Групата "Sandworm" е основн...

Но дори и да се е...
18/04/2024

Apple предупреждава потреби...

В ново уведомление за заплахи Apple...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!