Muddling Meerkat APT oppdaget å trekke DNS-triks
En ny cybertrussel ved navn Muddling Meerkat har blitt oppdaget engasjert i sofistikerte aktiviteter som involverer domenenavnsystemet (DNS) siden oktober 2019. Dette ser ut til å være et forsøk på å unngå sikkerhetstiltak og gjennomføre nettverksrekognosering globalt.
Infoblox, et skysikkerhetsfirma, antyder at trusselaktøren sannsynligvis er assosiert med Folkerepublikken Kina (PRC) og kan ha kontroll over Great Firewall (GFW), som administrerer internetttrafikk inn og ut av Kina.
Navnet "Muddling Meerkat" refererer til den forvirrende naturen til deres aktiviteter, spesielt deres misbruk av DNS-åpne resolvere – DNS-servere som aksepterer forespørsler fra hvilken som helst IP-adresse – ved å sende forespørsler fra kinesiske IP-adresser.
I følge en rapport delt med nyhetsmediet The Hacker News, bemerket Infoblox at Muddling Meerkat demonstrerer en dyp forståelse av DNS, noe som er uvanlig blant trusselaktører, og fremhever DNS som et potent verktøy for motstandere.
Hvordan rotete Meerkat tukler med DNS
Trusselen innebærer å initiere DNS-spørringer, inkludert for postutveksling (MX)-poster, til domener som ikke eies av aktøren, men som ligger under vanlige toppnivådomener som .com og .org.
Infoblox oppdaget denne trusselen ved å observere unormale DNS MX-postforespørsler fra kundeenheter. De oppdaget over 20 slike domener, ingen eid av Muddling Meerkat.
Dr. Renée Burton fra Infoblox uttalte at Muddling Meerkat må ha et forhold til GFW for å generere falske DNS MX-poster, en oppførsel som ikke tidligere er observert.
GFW, som bruker DNS-spoofing og tukling, injiserer falske DNS-svar for blokkerte søk. Muddling Meerkats unike funksjon er de falske MX-postsvarene fra kinesiske IP-adresser, forskjellig fra typisk GFW-oppførsel.
Motivet bak Muddling Meerkats aktiviteter er fortsatt uklart, selv om det kan involvere internettkartlegging eller forskning.
Burton understreket at Muddling Meerkat representerer en sofistikert kinesisk nasjonalstatsaktør som utfører bevisste DNS-operasjoner mot globale nettverk, noe som vekker bekymring på grunn av det uklare omfanget av deres operasjoner.
Samlet sett utgjør Muddling Meerkats aktiviteter utfordringer som er forskjellig fra typiske skadevareoperasjoner, noe som garanterer fortsatt årvåkenhet og etterforskning fra cybersikkerhetsbyråer.
