HackerNews 编译，转载请注明出处： 一家名为Morphing Meerkat的网络钓鱼即服务（PhaaS）运营平台近日被安全研究人员发现。该平台利用DNS over HTTPS（DoH）协议逃避检测，并通过DNS邮件交换（MX）记录识别受害者的电子邮件提供商，动态生成超过114个品牌的仿冒登录页面。 大规模网络钓鱼行动 Morphing Meerkat自2020年起活跃，由Infoblox的安全研究人员首次揭示。尽管部分活动曾被记录，但该平台在过去几年中大多未被察觉。 作为一款完整的PhaaS工具包，Morphing Meerkat为技术能力有限的攻击者提供了一站式的网络钓鱼攻击解决方案。它拥有集中化的SMTP基础设施，用于发送垃圾邮件。其中50%的邮件来源于英国的iomart和美国的HostPapa提供的互联网服务。 该平台能够模拟包括Gmail、Outlook、Yahoo、DHL、Maersk和RakBank等在内的114家电子邮件和服务提供商，发送带有类似“需要采取行动：账户停用”等紧急主题的邮件。这些邮件支持多种语言，包括英语、西班牙语、俄语和中文，且能够伪造发件人姓名和地址。 攻击流程 当受害者点击邮件中的恶意链接时，他们会经历一系列开放重定向攻击。这些重定向通常通过广告技术平台（如Google DoubleClick）执行，并涉及受感染的WordPress网站、伪造的域名和免费托管服务。 最终，钓鱼工具包会在受害者的浏览器中加载，同时利用DoH向Google或Cloudflare发送DNS查询以获取受害者电子邮件域名的MX记录。根据查询结果，工具包会动态生成伪造的登录页面，并自动填充受害者的电子邮件地址。 一旦受害者输入凭据，数据会通过AJAX请求和PHP脚本发送到攻击者的外部服务器。此外，攻击者还可能使用Telegram机器人webhook进行实时转发。为了验证凭据的准确性，受害者首次输入密码后会收到一条错误信息提示密码无效，诱导其再次输入。 输入成功后，受害者会被重定向至真实的身份验证页面，以减少怀疑。 使用DoH与DNS MX的隐蔽性 Morphing Meerkat的独特之处在于采用DoH和DNS MX记录，这些高级技术使攻击更具隐蔽性。 DoH通过加密的HTTPS请求执行DNS解析，替代传统的基于UDP的DNS查询，从而绕过DNS监控。MX记录则用于指示哪个服务器负责接收特定域的电子邮件。攻击者通过客户端直接查询Cloudflare或Google获取MX记录信息，从而避免被检测。 利用MX记录信息，钓鱼工具包能够实时生成与受害者邮箱提供商匹配的仿冒页面，提升攻击的成功率。 防御建议 Infoblox建议企业实施更严格的DNS控制，阻止用户直接与DoH服务器通信。此外，还应限制用户访问与企业业务无关的广告技术和文件共享基础设施，以降低攻击风险。 与Morphing Meerkat相关的所有攻击指标（IoC）已公开发布在GitHub存储库中，供安全研究人员进一步分析。   消息来源：Bleeping Computer 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

安全厂商 Infoblox 的调查研究显示，一个名为 DecoyDog（诱饵狗）的复杂恶意工具包通过域名系统（DNS），从事网络间谍活动已达1年以上。 目前尚不清楚该恶意软件的幕后黑手是谁，但 Infoblox 的研究人员认为，有4个参与者正在利用和开发该恶意软件来进行具有高度针对性的操作。由于观察到的范围仅限于俄罗斯和东欧地区，似乎该活动与俄乌战争有关。 Decoy Dog仍在活跃 虽然 Infoblox 只分析了 DecoyDog 的 DNS 和网络流量，但由于它基于 Pupy，因此它很可能是在受感染的设备上下载恶意软件负载并执行攻击者发送的命令。 4 月初，Infoblox 专家在6个存在异常 DNS 信标活动的域中发现了DecoyDog，这些域充当该恶意软件的命令和控制 (C2) 服务器： cbox4[.]ignorelist[.]com claudfront[.]net hsdps[.]cc ads-tm-glb[.]click atlas-upd[.]com allowlisted[.]net 当时，研究人员表示，他们发现企业网络中出现了相同的 DNS 查询模式，无法与消费设备联系起来，并 确认查询源自数量非常有限的客户网络中的设备。 在 Infoblox 宣布发现并发布技术分析报告后，DecoyDog并没有停止活动，分析报告显示，DecoyDog 在很大程度上是基于 Pupy 开源漏洞后远程访问木马（RAT）。最新的报告表明，DecoyDog是 Pupy 的重大升级，使用了公共存储库中没有的命令和配置。具体观察到的差异包括： 使用 Python 3.8，而 Pupy 是用 Python 2.7 编写的； 许多改进，包括 Windows 兼容性和更好的内存操作； 通过添加多个通信模块显着扩展了 Pupy 中的通信词汇量； 会响应先前 DNS 查询的重播，而 Pupy 则不会； 能响应通配符 DNS 请求，使被动 DNS 中的解析数量增加了一倍； 能响应与客户端有效通信结构不匹配的 DNS 请求； 能将任意 Java 代码注入 JVM 线程来增加运行任意 Java 代码的能力，并添加在受害设备上维持持久性的方法。 Infoblox 威胁情报主管 Renée Burton 透露，目前DecoyDog 域名服务器、控制器和域的数量已超过20个。 DecoyDog控制器列表 目标明确的恶意软件 根据被动 DNS 流量分析，很难确定DecoyDog客户端的准确数量，这将表明受影响设备的数量，但 Infoblox 在任何一个控制器上观察到的最大活跃并发连接数不到 50 个，最小的只有 4 个。Burton预估，目前被入侵设备的数量仅有几百台，表明目标非常小，是典型的情报行动。 在Infoblox披露DecoyDog后，该恶意软件开始增加地理围栏机制，限制控制器域对来自特定地区 IP 地址的 DNS 查询响应。 Infoblox发现其中一些服务器只有通过俄罗斯 IP 地址DNS 查询时才会响应，而其他服务器则会响应来自任何地点的任何格式良好的查询。这可能意味着受害者位于俄罗斯，但攻击者也可能选择将受害者流量路由到该地区作为诱饵或将查询限制为相关查询。Burton 倾向于前者，认为DecoyDog 的行为类似于 Pupy，并使用默认的递归解析器连接到 DNS。由于在现代网络中改变这一系统相当具有挑战性，因此这些受害者很可能在俄罗斯或邻近国家（也可能通过俄罗斯路由数据）。 TTP 指向多个参与者 Infoblox 根据观察到的战术、技术和程序 (TTP) 来区分操作DecoyDog的4个参与者。然而，他们似乎都会响应与DecoyDog或 Pupy 格式匹配正确的查询。 Burton指出，这种奇怪的行为可能是有意为之，但即使作为密码学家、情报人员和数据科学家，拥有丰富的经验，她也无法归结清楚具体的原因。如果有多个 DecoyDog参与者的理论属实，那么可能有两个参与者用新功能对其进行了改进。 根据 Burton 的说法，4个参与者中有一个拥有公共存储库中最先进的 DecoyDog 版本 ，其客户端连接到控制器 claudfront[.]net。该参与者中的另一个控制器为maxpatrol[.]net，但没有观察到连接行为，这可能与 Positive Technologies 的漏洞和合规管理系统类似。Positive Technologies 是一家俄罗斯网络安全公司，因贩卖国家支持的黑客组织使用的黑客工具和漏洞利用程序在 2021 年受到美国制裁。 Infoblox 指出，DecoyDog的新版本附带了域名生成算法 (DGA)充当紧急模块，如果恶意软件长时间无法与其 C2 服务器通信，则允许受感染的计算机使用第三方 DNS 服务器。从第三个版本开始，DecoyDog提供了广泛的持久性机制，表明其目的是以窃取情报为主，而非出于经济动机或者是红队工具。 DecoyDog尚存诸多疑点 目前，DecoyDog仍然比较神秘，需要进行额外的研究来确定目标、初始入侵方法（例如供应链、已知漏洞、目标设备中的零日漏洞）以及是如何进入网络的。 尽管 Infoblox 得到了信息安全社区（来自主要英特尔供应商、政府机构、威胁研究小组和金融组织）的支持，但该恶意软件的检测结果或其全部范围尚未公开披露。 Infoblox 建议防御者注意，Decoy Dog 和 Pupy 中的 IP 地址代表加密数据，而不是用于通信的真实地址，并关注 DNS 查询和响应，因为它们可以帮助跟踪恶意软件活动。 该公司还创建了一条 YARA 规则，可以检测研究人员自 7 月以来观察到的 DecoyDog 样本，并与公共版本的 Pupy进行区分。     转自Freebuf，原文链接:https://www.freebuf.com/news/373187.html 封面来源于网络，如有侵权请联系删除

近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为OpenWRT设计的一个分支，OpenWRT 是用于各种关键基础设施部门的路由器的通用操作系统。 通过该漏洞，攻击者可以进行DNS中毒或DNS欺骗攻击，并将受害者重定向到恶意网站而不是合法网站。Nozomi Networks在报告中写到，该漏洞是由库生成的DNS请求中包含的事务ID的可预测性引起，可能允许攻击者对目标设备执行DNS中毒攻击。 目前，uClibc库被广泛应用于各大厂商，包括Linksys、Netgear和Axis，或嵌入式Gentoo等Linux发行版。安全专家尚未透露该漏洞的细节，因为供应商暂时没有解决该问题。 Nozomi的研究人员通过查看物联网设备在其测试环境中执行的DNS请求跟踪发现了这个问题。他们从Wireshark 的输出中确定执行DNS请求的模式，事务ID首先是递增的，然后重置为0x2值，然后再次递增。请求的事务ID是可预测的，这种情况可能允许攻击者在某些情况下发起DNS中毒攻击。 研究人员分析了可执行文件，发现创建DNS请求的问题出现在C标准库uClibc 的0.9.33.2版本。 Nozomi报告中写到，研究人员通过源代码审查发现，uClibc库通过调用位于源文件“/libc/inet/resolv.c”中的内部“__dns_lookup”函数来实现DNS请求。鉴于交易ID的可预测性，攻击者想要利用该漏洞，就需要制作包含正确源端口的DNS响应，并赢得来自DNS服务器的合法DNS响应的竞争。由于该函数不应用任何显式源端口随机化，如果操作系统配置为使用固定或可预测的源端口，则很可能以可靠的方式轻松利用该问题。 如果操作系统使用源端口的随机化，则利用该问题的唯一方法是通过发送多个DNS响应，暴力破解16位源端口值，同时赢得与合法响应的竞争。 最后，Nozomi报告总结道，截止该报告发布时，该漏洞仍未修复。开发者似乎无法修复该漏洞，自2022年1月以来，CERT/CC 向200多家受邀参与VINCE案例的供应商披露了该漏洞，并在公开发布前30天通知他们。   转自 FreeBuf ，原文链接：https://www.freebuf.com/news/332069.html 封面来源于网络，如有侵权请联系删除