TrickBot ha evolucionado para convertirse en una amenaza más sigilosa, utilizando el tráfico DNS cotidiano como un canal oculto para enviar comandos de malware. Esta técnica permite que sus actividades sean más difíciles de detectar en redes empresariales congestionadas, habiéndose observado una nueva variante que secuestra sistemas Windows para mover datos de mando y control a través de consultas y respuestas DNS.

TrickBot ha evolucionado silenciosamente hacia una amenaza más encubierta al convertir el tráfico DNS cotidiano en un canal sigiloso para comandos de malware, haciendo que su actividad sea más difícil de detectar en redes empresariales congestionadas.

En una campaña reciente, se observó una nueva variante secuestrando sistemas Windows y utilizando consultas y respuestas DNS para mover datos de comando y control de maneras que se mezclan con las búsquedas normales de internet.

Esto permite a los atacantes mantener el control remoto sobre las máquinas comprometidas mientras permanecen bajo el radar de muchos controles de seguridad tradicionales.

El malware continúa dirigiéndose a usuarios de Microsoft Windows, donde puede otorgar a un atacante el control total del dispositivo de la víctima, incluyendo la ejecución de comandos, la carga de módulos y la inyección de código en otros procesos.

Las generaciones anteriores de TrickBot dependían principalmente del tráfico HTTP para comunicarse con sus servidores de control, lo que hacía que la detección de red fuera más sencilla.

En este último análisis, sin embargo, los analistas de FortiGuard Labs de Fortinet observaron muestras que habían cambiado al tunelizado DNS para su capa de comunicación, marcando un cambio notable en la metodología de esta familia.

Fortinet dijo en un informe que esta variante de TrickBot utiliza un diseño modular para que los atacantes puedan descargar, ejecutar o inyectar diferentes cargas útiles según lo que quieran lograr en un host comprometido.

Algunos módulos se centran en ejecutar comandos de Windows y PowerShell, mientras que otros admiten el vaciado de procesos (process hollowing), el "doppelganging" de procesos y la ejecución de shellcode puro directamente en la memoria.

Si quieres una visión más amplia del abuso de DNS, puedes comparar esta actividad con la cobertura reciente sobre cómo los hackers explotan las consultas DNS para operaciones de C2, lo que resalta cómo los atacantes están convirtiendo el protocolo en canales de control sigilosos.

El impacto en las víctimas va más allá del simple robo de datos, ya que la calificación de severidad alta del malware refleja su capacidad para actuar como una plataforma flexible para etapas posteriores de un ataque.

Una vez instalado, TrickBot establece su persistencia utilizando el Programador de Tareas de Windows, disfrazándose como un trabajo programado aparentemente inofensivo con nombres como “Wireshark autoupdate #72784” que se ejecutan al iniciar el sistema y se repiten cada pocos minutos.

También oculta detalles de configuración clave dentro de los Flujos de Datos Alternos (ADS) de NTFS para evitar las comprobaciones simples basadas en archivos en las que podrían confiar los defensores.

Al cambiar al tunelizado DNS, TrickBot también hace que la respuesta ante incidentes sea más compleja, ya que el tráfico malicioso ahora está mezclado con la actividad rutinaria, como las búsquedas de dominios, de las que dependen la mayoría de las organizaciones cada día.

Esta tendencia refleja un abuso más amplio de los canales basados en DNS vistos en campañas donde los actores de amenazas ocultan la exfiltración o el tráfico de control dentro de campos de protocolo que parecen benignos a primera vista, como se detalla en la investigación sobre hackers que explotan servicios de tunelizado DNS.

TrickBot convierte el tráfico DNS ordinario en un canal oculto

El núcleo de la estrategia de esta variante es su capacidad para envolver el tráfico de comando y control dentro de lo que parecen ser consultas DNS ordinarias a un dominio bajo el control del atacante.

Antes de enviar los datos, TrickBot cifra su carga de comando con una clave XOR simple, convierte el resultado a hexadecimal y lo formatea como una cadena de subdominio larga que se divide periódicamente con puntos para imitar una estructura de dominio plausible.

Esa cadena se añade luego al dominio constante “westurn.in”, creando una consulta DNS que parece normal para muchas herramientas de monitoreo de red.

Para enviar estas consultas elaboradas, el malware se apoya en la API getaddrinfo() de Windows y puede enrutar el tráfico a través de servidores DNS públicos, incluido uno en 8.8.8.8, lo que mezcla aún más su actividad con los patrones comunes vistos en redes empresariales.

Dentro de los paquetes, TrickBot utiliza un pequeño protocolo de tres tipos de paquetes que admiten datos de solicitud, negociación de tamaño y contenido de respuesta, con una lógica de fragmentación para dividir las cargas útiles más grandes en trozos manejables.

Durante una prueba, tardó unos cuarenta segundos en mover un archivo de 1,2 MB a través de este túnel DNS, logrando un rendimiento de aproximadamente 30,7 KB por segundo; lento, pero suficiente para comandos y módulos que no requieren alta velocidad.

Para contextualizar cómo otras familias de malware están adoptando ideas similares, puedes revisar la investigación donde se descubrieron tácticas de tunelizado DNS de Zloader, que describe patrones de C2 comparables en otra familia de amenazas.

En el lado de la respuesta, el malware oculta los datos de retorno dentro de las direcciones IP de las respuestas DNS, codificando los bytes de la carga útil a través de múltiples entradas IPv4.

TrickBot reserva bits en el primer octeto de cada dirección IP como un valor de índice para que luego pueda ordenar y reconstruir la carga original, incluso si los resolutores de DNS reordenan las direcciones en el camino.

Después de ordenar por índice, reensambla tres bytes de datos de cada dirección en un búfer, reconstruyendo los resultados del comando o el contenido del módulo enviado desde el servidor de control simulado.

Persistencia, ejecución modular y protecciones

Una vez en funcionamiento, TrickBot se asegura de sobrevivir a los reinicios y a los intentos de limpieza creando tareas programadas a través de la interfaz COM del Programador de Tareas y almacenando los nombres de las tareas y las rutas de los ejecutables como cadenas Base64 en flujos ocultos llamados “$TASK” y “$FILE”.

En ejecuciones posteriores, lee estos flujos y recrea la tarea si es necesario, evitando trabajos duplicados múltiples y asegurando que el malware continúe lanzándose en un horario regular.

El sistema de comandos de la variante utiliza una serie de códigos numéricos para registrar víctimas, solicitar tareas, descargar módulos y ejecutar cargas útiles, ya sea a través de rundll32, inyección de procesos o ejecución directa de comandos.

Se ha documentado actividad relacionada de los operadores de TrickBot en campañas anteriores, como el abuso del Instalador de Aplicaciones de Windows 10 por parte de los operadores de TrickBot, donde se utiliza el mismo ecosistema para desplegar malware adicional como BazarLoader.

El informe vincula esta actividad con varias técnicas de MITRE ATT&CK, incluyendo protocolos de aplicación basados en DNS, tunelizado de protocolos, tareas programadas, ocultación de artefactos NTFS, enfoques de inyección de procesos, ejecución de proxy de binarios firmados con rundll32, ejecución de comandos basados en PowerShell y transferencia de herramientas de ingreso.

Según Fortinet, los clientes que utilizan sus protecciones ya disponen de firmas que detectan esta variante de tunelizado DNS de TrickBot y bloquean su dominio asociado, mientras que las mejores prácticas generales incluyen el monitoreo del tráfico DNS en busca de patrones inusuales, la inspección de tareas programadas en busca de trabajos de actualización extraños y la vigilancia de módulos que se ejecuten a través de rundll32 o actividad de PowerShell inesperada.

Fuentes:
https://cybersecuritynews.com/trickbot-dns-traffic-hidden-channel/