Se ha identificado una nueva amenaza cibernética, denominada Muddling Meerkat, que realiza actividades relacionadas con el sistema de nombres de dominio (DNS) desde octubre de 2019. Esta actividad se considera previamente indocumentada y está vinculada a un esfuerzo para evadir medidas de seguridad y realizar reconocimientos en redes globales.
Relación con la República Popular China
La firma de seguridad Infoblox describió al actor como probablemente afiliado a la República Popular China (RPC), con capacidad para controlar el Gran Cortafuegos (GFW). Este sistema censura el acceso a sitios web extranjeros y manipula el tráfico de Internet hacia y desde el país.
Operaciones desconcertantes
El nombre del actor se debe a la naturaleza «desconcertante» de sus operaciones, que incluyen el uso abusivo de resolutores abiertos de DNS. Estos servidores aceptan consultas recursivas de todas las direcciones IP, lo que permite al actor enviar consultas desde el espacio IP chino.
Actividades específicas
Muddling Meerkat implica activar consultas DNS para intercambio de correo (MX) y otros tipos de registros en dominios no propiedad del actor, pero que residen en dominios de alto nivel como .com y .org.
Infoblox detectó más de 20 dominios utilizados por el actor. Entre ellos se incluyen: 4u[.]com, kb[.]com, oao[.]com, od[.]com, boxi[.]com, zc[.]com, s8[.]com, f4[.]com, b6[.]com, p3z[.]com, ob[.]com, por ejemplo[.]com, kok[.]com, gogo[.]com, aoa[.]com, zbo6[.]com, id[.]com, mv[.]com, nef[.]com, ntl[.]com, tv[.]com, 7ee[.]com, gb[.]com, tunk[.]org, q29[.]org, ni[.]com, tt[.]com, pr[.]com, dec[.]com.
Características del comportamiento
Muddling Meerkat provoca un tipo especial de registro DNS MX falso del Gran Cortafuegos que nunca antes se había visto. Para lograr esto, debe tener una relación con los operadores del GFW. Los dominios de destino son el dominio utilizado en las consultas y no necesariamente el objetivo del ataque.
El GFW utiliza suplantación y manipulación de DNS para inyectar respuestas falsas que contienen direcciones IP reales aleatorias cuando una solicitud coincide con una palabra clave prohibida o un dominio bloqueado. Esto se logra mediante el envenenamiento de la caché de DNS o el bloqueo de direcciones IP.
La característica más notable de Muddling Meerkat es la presencia de respuestas de registros MX falsas de direcciones IP chinas. Este comportamiento difiere del comportamiento estándar del GFW, ya que las respuestas no incluyen direcciones IPv4 sino registros de recursos MX con el formato adecuado.
Objetivo y motivación
La motivación exacta detrás de la actividad de varios años no está clara. Sin embargo, se planteó la posibilidad de que se lleve a cabo como parte de un esfuerzo de mapeo de Internet o de una investigación de algún tipo.
Conclusión
Muddling Meerkat es un actor-estado-nación chino que realiza operaciones DNS deliberadas y altamente calificadas contra redes globales casi a diario. El alcance total de su operación no se puede ver en ningún lugar en particular.
El malware es más fácil que el DNS en este sentido: una vez que se localiza el malware, es sencillo entenderlo. Aquí sabemos que algo está sucediendo, pero no lo entendemos completamente. CISA, el FBI y otras agencias continúan advirtiendo de operaciones de preposicionamiento chinas que no son detectadas.
Deberíamos preocuparnos por cualquier cosa que no podamos ver o comprender completamente.