کشف روش نوین پنهان‌سازی بدافزار در رکوردهای DNS: تهدیدی هوشمندانه و نامرئی

پژوهشگران شرکت امنیتی DomainTools به تازگی از یک روش پیشرفته و هوشمندانه پرده برداشته‌اند که در آن، بدافزارها به شکلی نامرئی و دشوار برای شناسایی، درون رکوردهای DNS پنهان می‌شوند. این تکنیک جدید، چالش‌های جدی را برای سامانه‌های امنیتی و ضدویروس‌های سنتی ایجاد کرده است.

چگونگی عملکرد این روش نوین

در این تهدید سایبری تازه، فرآیند پنهان‌سازی بدافزار شامل چندین مرحله پیچیده است که شناسایی آن را دشوار می‌سازد:

• تبدیل به کد هگزادسیمال: فایل بدافزار به جای ارسال مستقیم، ابتدا به کدهای هگزادسیمال (ترکیبی از اعداد ۰ تا ۹ و حروف A تا F) تبدیل می‌شود.
• تقسیم و ذخیره‌سازی: این کدهای هگزادسیمال به صدها بخش کوچک تقسیم شده و در رکوردهای TXT مربوط به زیردامنه‌های یک سایت مشخص ذخیره می‌شوند.
• بازیابی و بازسازی: مهاجم سپس با ارسال درخواست‌های ظاهراً بی‌ضرر DNS، این بخش‌ها را بازیابی کرده و مجدداً به یک فایل باینری قابل اجرا تبدیل می‌کند.

چرا این روش دشوار قابل ردیابی است؟

دلیل اصلی دشواری شناسایی این بدافزارها، ماهیت ترافیک DNS است:

• نادیده گرفتن ترافیک DNS: ترافیک DNS معمولاً توسط آنتی‌ویروس‌ها و فایروال‌ها نادیده گرفته می‌شود، زیرا تمرکز اصلی آن‌ها بر ترافیک وب و ایمیل است.
• رمزنگاری ترافیک DNS: با گسترش استفاده از پروتکل‌هایی مانند DNS over HTTPS (DoH) و DNS over TLS (DoT)، تحلیل ترافیک DNS حتی برای سازمان‌های پیشرفته نیز دشوارتر شده است. این روش‌ها ترافیک DNS را رمزنگاری می‌کنند و تنها سرور مقصد قادر به مشاهده محتوای آن است.

سابقه و آینده این تهدید

استفاده از رکوردهای DNS برای پنهان‌سازی اسکریپت‌های مخرب موضوع جدیدی نیست. پیش‌تر، از رکوردهای TXT برای قرار دادن اسکریپت‌های PowerShell استفاده شده بود. با این حال، روش اخیر که در آن فایل کامل بدافزار به شکل کد هگزادسیمال در رکوردهای DNS پنهان می‌شود، نسبتاً ناشناخته‌تر است و می‌تواند آغازی برای موج جدیدی از حملات سایبری پیچیده باشد.