ztevenreal
- Los registros DNS anticuados crean aperturas invisibles para que los delincuentes difundan malware a través de sitios legítimos
- Hazy Hawk convierte los enlaces de nubes mal configurados en trampas de redirección silenciosa para fraude e infección
- Las víctimas piensan que están visitando un sitio verdadero, hasta que las ventanas emergentes y el malware se hacen cargo
Una nueva amenaza en hilera preocupante está surgiendo en la que los delincuentes secuestran los subdominios de las principales organizaciones, como Bose, Panasonic e incluso los CDC de los Estados Unidos (Centros para el Control y la Prevención de Enfermedades), para propagar malware y perpetrar estafas en hilera.
Según lo afectado por expertos en seguridad InfoBloxen el centro de esta campaña, hay un congregación de amenazas conocido como Hazy Hawk, que ha recogido un enfoque relativamente tranquilo pero mucho efectivo para comprometerlo y armarse con los visitantes desprevenidos.
Estos secuestros de subdominios no son el resultado de la piratería directa, sino de explotar las vulnerabilidades de infraestructura pasadas por suspensión.
Una exploit enraizada en la supervisión administrativa
En emplazamiento de violar las redes a través de la fuerza bruta o el phishing, la brumosa firme explota fortuna en la cirro abandonados vinculados a los registros CNAME DNS mal configurados.
Estos llamados registros “colgantes” ocurren cuando una estructura desmonta un servicio en la cirro, pero olvida modernizar o eliminar la entrada DNS que apunta a ella, dejando el subdominio abandonado.
Por ejemplo, un subdominio olvidado como poco.bose.com aún podría señalar un procedimiento Azure o AWS no utilizado, y si Hazy Hawk registra la instancia de la cirro correspondiente, el atacante de repente controla un subdominio Bose de aspecto lícito.
Este método es peligroso porque las configuraciones erróneas no suelen ser marcadas por los sistemas de seguridad convencionales.
Los subdominios reutilizados se convierten en plataformas para entregar estafas, incluidas advertencias antivirus falsas, contras de soporte técnico y malware disfrazado de actualizaciones de software.
Hozy Hawk no solo se detiene en el secuestro: el congregación utiliza sistemas de distribución de tráfico (TDS) para redirigir a los usuarios de subdominios secuestrados a destinos maliciosos.
Estos TDS, como viralClipnow.xyz, evalúan el tipo de dispositivo, la ubicación y el comportamiento de navegación de un adjudicatario para servir estafas a medida.
A menudo, la redirección comienza con dominios de desarrolladores o blogs aparentemente inocuos, como Share.js.org, ayer de deslizar a los usuarios a través de una red de farsa.
Una vez que los usuarios aceptan notificaciones push, continúan recibiendo mensajes de estafa mucho posteriormente de la infección original, estableciendo un vector duradero para el fraude.
Las consecuencias de estas campañas son más que teóricas y ha afectado a organizaciones y empresas de suspensión perfil como los CDC, Panasonic y Deloitte.
Las personas pueden guarecerse contra estas amenazas rechazando las solicitudes de notificación push de sitios desconocidos y ejerciendo precaución con enlaces que parecen demasiado buenos para ser verdad.
Para las organizaciones, el intensidad debe estar en la higiene del DNS. No eliminar las entradas DNS para servicios en la cirro de desmantelamiento deja subdominios vulnerables a la adquisición.
Las herramientas automatizadas de monitoreo del DNS, especialmente aquellas integradas con la inteligencia de amenazas, pueden ayudar a detectar signos de compromiso.
Los equipos de seguridad deben tratar estas configuraciones erróneas como vulnerabilidades críticas, no supervisiones menores.
