0xNews - 기업 네트워크를 노리는 Decoy Dog 라 불리는 맬웨어 툴킷 발견

Infoblox 발표

700억개가 넘는 DNS레코드를 분석한 결과 엔터프라이즈 네트워크를 대상으로 하는, Decoy Dog 라고 불리는 정교한 맬웨어 툴킷 발견

Decoy Dog 의 이름에서 알 수 있듯이 적발하기 쉽지 않고 전략적 도메인 에이징 strategic domain aging 이나 DNS 쿼리 드리블링 DNS query dribbling 과 같은 기술 사용

일련의 쿼리는 C2 Command-and-Control 도메인으로 전송되도 의심되지 않음

DNS수준에서 도메인을 검사할 때 고유하게 식별할 수 있도록 하는 매우 특이한 여러 특성을 가진 응집력 있는 툴킷으로 확인

2023년 4월 초 비정상적인 DNS비커닝 활동 이후 악성코드를 식별한 사이버 보안회사는 이 악성코드의 비정형 특성으로 인해 공격 인프라의 일부인 추가 도메인을 맵핑할 수 있음을 확인

이는 캘리포니아에 본사를 둔 회사에 따르면 이미 활동 중으로 판단되는 Decoy Dog의 사용은 매우 드물다라는 DNS서명은 인터넷에 있는 3억 7천만개의 활성 도메인 중 0.0000027% 미만과 일치

Decoy Dog 툴킷의 주요 구성 요소 중 하나는 DNS터널링

이 방법을 통해 전달되는 오픈소스 트로이 목마인 Pupy RAT

여기서 DNS쿼리와 응답은 은밀하게 페이로드를 삭제하기 위한 C2로 사용

교차 플랫폼 Pupy RAT의 사용이 과거 중국의 지원을 받은 사이버 단체와 연결되었다는 점은 주목할만한 가치가 있지만 이번 캠페인에 관여했다는 증거는 없음

Decoy Dog에 대한 추가 조사에 따르면 캠페인은 최소 1년 전 설정되어 활동

현재까지 세가지 고유한 인프라 구성이 감지

다른 중요한 측면은 Decoy Dog 도메인과 관련된 비정상적인 DNS비커닝 동작으로 주기적이지만 드문 DNS요청 패턴을 고수하여 감시망 아래로 이동하여 감지되지 않도록 함

Decoy Dog 도메인은 공유 등록 기관, 네이밍서버, IP나 동적 DNS공급자를 기반으로 하여 그룹화할 수 있음

Decoy Dog 도메인간의 다른 공통점을 감안할 때 이는 한명의 위협 행위자가 점차 전술을 발전시키거나 여러 위협 행위자가 서로 다른 인프라에 동일한 툴킷을 배포하는 것을 나타냄

openLab