CISA, el FBI, la NSA y otras agencias internacionales de ciberseguridad han emitido una alerta instando a las organizaciones y proveedores de DNS a mitigar la técnica de evasión denominada «Fast Flux». Esta técnica es empleada por actores de amenazas estatales y bandas de ransomware para evitar la detección y mantener infraestructuras resilientes.
¿Cómo funciona Fast Flux?
Fast Flux es una técnica DNS que permite a los atacantes evadir la vigilancia y mantener una comunicación segura con sus herramientas maliciosas. La técnica implica la rápida modificación de registros DNS, lo cual dificulta el rastreo del origen de las actividades maliciosas y su bloqueo.
Esta práctica suele apoyarse en botnets compuestas por grandes redes de sistemas comprometidos que actúan como intermediarios para facilitar los cambios frecuentes. CISA destaca dos tipos principales de esta técnica: Single Flux y Double Flux.
- Single Flux: Los atacantes rotan con frecuencia las direcciones IP asociadas a un nombre de dominio en las respuestas DNS.
- Double Flux: Además de cambiar las IPs del dominio, los propios servidores DNS también varían rápidamente, lo que añade una capa adicional de dificultad para la identificación y el desmantelamiento.
CISA afirma que Fast Flux es ampliamente utilizada por actores de amenazas de todos los niveles, desde ciberdelincuentes hasta grupos estatales altamente sofisticados. La agencia menciona casos como Gamaredon, ransomware Hive, Nefilim y proveedores de servicios web a prueba de balas que han utilizado esta técnica para evadir la vigilancia.
Recomendaciones para mitigar Fast Flux
CISA ha proporcionado varias medidas para detectar y detener el uso de Fast Flux. Entre ellas se incluyen:
- Análisis de registros DNS para identificar rotaciones frecuentes, valores TTL bajos, alta entropía de IP y resoluciones geográficamente inconsistentes.
- Integración de fuentes externas y servicios de reputación en firewalls, SIEM y resolutores DNS para detectar dominios Fast Flux conocidos e infraestructura maliciosa.
- Monitoreo del tráfico DNS y datos de flujo de red para identificar grandes volúmenes de consultas o conexiones a múltiples IPs en cortos períodos. Se recomienda comparar dominios o correos sospechosos con anomalías de DNS.
- Implementación de algoritmos específicos basados en el comportamiento histórico y líneas base de la red para mejorar la precisión de la detección.
CISA recomienda usar listas negras de DNS/IP, reglas de firewall y filtrar tráfico a servidores internos. También se sugiere utilizar puntuación de reputación, registro centralizado y alertas en tiempo real para detectar anomalías de DNS. La participación en redes de intercambio de información es también recomendada.