Se trata de una
versión mejorada del malware PsiXBot que añade nuevas funcionalidades. Entre
ellas, el uso de DNS sobre HTTPS durante las operaciones de recuperación de
información del servidor C&C, para ocultar las peticiones DNS, que
resultarían sospechosas, bajo una capa cifrada como HTTPS. De este modo, sólo a
través de un análisis de SSL/TLS posterior a un eventual MITM, podríamos
detectar esas peticiones al servidor malicioso.
En los últimos días
hemos tenido constancia de la actualización de este malware, capaz de grabar
vídeo y audio de la webcam de los equipos infectados. La funcionalidad es
activada cuando el título de las webs que se visitan en el navegador coinciden
con una lista de palabras regulares que tienen relación con webs de contenido
pornográfico. A continuación puede comprobarse esto en el código del malware:
Aunque la noticia más
mediática ha sido la inclusión del «PornModule», enfocado, como hemos dicho, a
la captura de imágenes y audio mientras se ve contenido pornográfico para una
posterior extorsión, no es una práctica novedosa ni sofisticada.
Lo interesante, desde
el punto de vista técnico, es la inclusión de dos elementos que refinan y
mejoran la funcionalidad del malware. En primer lugar la utilización de
técnicas Fast Flux y, en segundo lugar, el uso de DNS a través de HTTPS.
Fast Flux es una
técnica DNS utilizada típicamente en contextos que involucren botnets y que
persigue ocultar las direcciones IP de servidores de phishings y envío de
malware a través del cambio permanente y rápido de la topología de red, utilizando
un conglomerado de hosts comprometidos que actúan como proxies. La idea
fundamental de la técnica es asociar una cantidad ingente de IPs a un dominio
cualificado, siendo las IPs cambiadas con una frecuencia extremadamente alta a
través de la modificación de los registros DNS.
Por otro lado, la
utilización de DNS a través de HTTPS, permite ocultar las peticiones DNS a
estos servidores detrás de una capa cifrada como HTTPS. El autor del malware
utiliza además el propio servicio de Google para realizar este paso.
Como puede
apreciarse, los dominios van hardcodeados, por lo que, simplemente, deben
incluirse dentro de una petición GET a https://dns.google.com como una
variable, tal y como puede apreciarse en la siguiente imagen:
A continuación,
adjuntamos algunos indicadores de compromiso, así como fuentes y referencias
que permitan ampliar o complementar la información:
Más información:
- https://www.proofpoint.com/us/threat-insight/post/psixbot-continues-evolve-updated-dns-infrastructure
- https://tools.ietf.org/html/rfc8484
Fuente: Hispasec
