Muddling Meerkat APT descobriu truques de DNS

Uma nova ameaça cibernética chamada Muddling Meerkat foi detectada envolvida em atividades sofisticadas envolvendo o sistema de nomes de domínio (DNS) desde outubro de 2019. Esta parece ser uma tentativa de escapar das medidas de segurança e realizar o reconhecimento da rede globalmente.

A Infoblox, uma empresa de segurança em nuvem, sugere que o ator da ameaça está provavelmente associado à República Popular da China (RPC) e pode ter controle sobre o Grande Firewall (GFW), que gerencia o tráfego de Internet dentro e fora da China.

O nome "Muddling Meerkat" refere-se à natureza intrigante de suas atividades, particularmente ao uso indevido de resolvedores abertos de DNS - servidores DNS que aceitam consultas de qualquer endereço IP - enviando consultas de endereços IP chineses.

De acordo com um relatório compartilhado com o meio de comunicação The Hacker News, a Infoblox observou que o Muddling Meerkat demonstra um profundo conhecimento do DNS, o que é incomum entre os atores de ameaças, destacando o DNS como uma ferramenta potente para os adversários.

Como o Mudling Meerkat altera o DNS

A ameaça envolve o início de consultas DNS, inclusive para registros de troca de correio (MX), em domínios que não pertencem ao ator, mas que residem em domínios comuns de nível superior, como .com e .org.

A Infoblox descobriu essa ameaça observando solicitações anômalas de registros DNS MX de dispositivos de clientes. Eles detectaram mais de 20 desses domínios, nenhum de propriedade do Muddling Meerkat.

Renée Burton, da Infoblox, afirmou que o Muddling Meerkat deve ter um relacionamento com o GFW para gerar registros DNS MX falsos, um comportamento não observado anteriormente.

O GFW, que emprega falsificação e adulteração de DNS, injeta respostas DNS falsas para consultas bloqueadas. O recurso exclusivo do Muddling Meerkat são as respostas falsas de registros MX de endereços IP chineses, diferindo do comportamento típico do GFW.

O motivo por trás das atividades do Muddling Meerkat permanece obscuro, embora possa envolver mapeamento ou pesquisa na Internet.

Burton enfatizou que o Muddling Meerkat representa um ator sofisticado do Estado-nação chinês que conduz operações deliberadas de DNS contra redes globais, levantando preocupações devido à extensão total e pouco clara de suas operações.

No geral, as atividades do Muddling Meerkat apresentam desafios diferentes das operações típicas de malware, garantindo vigilância e investigação contínuas por parte das agências de segurança cibernética.