Un análisis de más de 70.000 millones de registros DNS ha permitido identificar un nuevo conjunto de herramientas de malware, denominado Decoy Dog, que se dirige a redes empresariales.
Características del malware Decoy Dog
Decoy Dog es evasivo y utiliza técnicas como el envejecimiento estratégico de dominios y consultas DNS para transmitir información a los dominios de control (C2) sin levantar sospechas.
«Decoy Dog es un conjunto de herramientas cohesionado con una serie de características muy inusuales que lo hacen únicamente identificable, en particular cuando se examinan sus dominios a nivel de DNS», afirmó Infoblox en un aviso publicado a finales del mes pasado.
La empresa de ciberseguridad identificó el malware a principios de abril de 2023 debido a una actividad anómala de balizamiento de DNS. Afirmó que sus características atípicas le permitieron mapear dominios adicionales que forman parte de la infraestructura de ataque.
El uso de Decoy Dog en la naturaleza es «muy raro», ya que su firma DNS coincide con menos del 0,0000027% de los 370 millones de dominios activos en Internet, según la empresa con sede en California.
Componentes clave
Uno de los principales componentes del kit de herramientas es Pupy RAT, un troyano de código abierto que se distribuye mediante el método llamado DNS Tunneling, en el que las consultas y respuestas DNS se utilizan como C2 para soltar cargas útiles sigilosamente.
Vale la pena señalar que el uso de la plataforma cruzada Pupy RAT se ha relacionado con actores de estado-nación de China, como Earth Berberoka (aka GamblingPuppet), en el pasado. Sin embargo, no hay pruebas que sugieran la participación del actor en esta campaña.
Investigación y análisis
Una investigación más profunda sobre Decoy Dog sugiere que la operación se había puesto en marcha al menos un año antes de su descubrimiento, con tres configuraciones de infraestructura distintas detectadas hasta la fecha.
Otro aspecto crucial es el inusual comportamiento de balizamiento DNS asociado a los dominios Decoy Dog, que se adhieren a un patrón de peticiones DNS periódicas pero infrecuentes para pasar desapercibidos.
«Los dominios Decoy Dog pueden agruparse en función de los registradores, servidores de nombres, IP y proveedores de DNS dinámicos que comparten», afirma Infoblox.
Dados los otros puntos en común entre los dominios Decoy Dog, esto es indicativo de un actor de amenazas que evoluciona gradualmente sus tácticas, o de múltiples actores de amenazas que despliegan el mismo conjunto de herramientas en diferentes infraestructuras.