安全研究人员发现，看似无害的域名系统（DNS）正被网络犯罪分子利用来隐藏和传播恶意软件。攻击者将恶意软件编码为十六进制字符串，存储在DNS TXT记录中，并分解到数百个子域名中。这种方法能够有效绕过大多数安全工具，特别是随着DNS over HTTPS和DNS over TLS等加密技术的普及，使得检测更加困难。这种将数字堆栈中看似平凡的环节转化为威胁载体的趋势，预示着网络攻击正变得更加隐蔽和深入，对现有安全防护提出了新的挑战。

📈 DNS记录成为恶意软件的隐蔽通道：研究人员发现，攻击者利用DNS的TXT记录，将恶意软件编码成十六进制字符串，存储在其中。TXT记录通常用于域名验证，但其存储任意文本的能力使其成为隐藏恶意代码的理想载体，能够有效规避多数安全检测工具。

🧩 恶意软件被分解存储于大量子域名：攻击者将一个完整的恶意软件分解成多个片段，每个片段存储在不同子域名的DNS TXT记录中。通过数百个子域名的协同，实现了对恶意软件的分布式隐藏和传播，增加了检测和溯源的难度。

🤖 生成式AI助力恶意软件重组：研究发现，攻击者可能使用生成式AI服务来快速生成重组恶意软件片段的脚本。这不仅提高了攻击的效率，也使得被分解的恶意软件在被接收端重组后，能够与已知的恶意软件（如Joke Screenmate）哈希值匹配。

🔒 加密DNS协议加剧了安全风险：随着DNS over HTTPS（DoH）和DNS over TLS（DoT）等加密DNS协议的普及，网络流量的可见性降低。攻击者可以利用这些加密协议将恶意载荷“偷运”到检测系统之外，使得DNS成为一个越来越有吸引力的恶意软件分发载体。

安全研究人员和道德黑客正在发现IT基础设施中隐藏恶意代码的全新且意想不到的地方。即使是看似无害的域名系统（DNS）——所有联网设备的基础命名系统理论上也可能被狡猾的网络犯罪分子或受国家支持的攻击者利用。这凸显了一个日益增长的趋势：数字堆栈中的任何环节，只要平凡无奇，都可能成为复杂威胁的载体。

将勒索软件隐藏在CPU中曾令人匪夷所思，但现在，攻击者的攻击范围正在进一步扩大，网络攻击也更加深入。安全研究人员最近发现，一种恶意软件直接嵌入在域名系统中，有效绕过了几乎所有高级安全工具。

受此前有人在 DNS 记录中隐藏图像的报道启发，DomainTools 的研究人员开始仔细检查DNS TT 记录，寻找二进制或非标准数据的踪迹。TXT 记录可以存储任意文本，常用于验证域名所有权，结果发现它是一种出奇有效的隐蔽通道。DomainTools 团队发现，他们可以通过将可执行二进制文件转换为十六进制字符串，将恶意软件样本编码到这些记录中。

研究人员深入挖掘，搜索了已知的“魔法字节”——用于各种可执行文件头的标识符。他们发现，同一个域名的不同子域名中嵌入了多个熟悉的 .exe 文件头，每个子域名都包含不同的 TXT 记录值。总共有数百个子域名似乎参与了这一奇怪而隐秘的恶意软件传播计划。

DomainTools 分析师怀疑攻击者将一个恶意二进制文件分解成数百个十六进制编码的片段，每个片段存储在不同的 DNS 子域中。研究人员表示，攻击者随后使用生成式 AI 服务快速生成一个能够重组这些片段的脚本。重建后，该二进制文件与 Joke Screenmate 的两个已知 SHA-256 哈希值匹配。Joke Screenmate 是一种恶作剧恶意软件，会模仿破坏性行为，并可能干扰正常的系统功能和用户控制。

但这还不是全部。使用同样的调查技术，该团队还发现了嵌入在 DNS 记录中的编码 PowerShell 脚本。该脚本连接到一个与Covenant 框架相关的命令与控制服务器，Covenant 框架是一个合法的后漏洞利用工具包，经常被威胁行为者滥用。该连接可能有助于下载更多有效载荷，使其成为更大、更复杂的攻击链的潜在组成部分。

DomainTools 工程师 Ian Campbell 在一封电子邮件声明中强调，基于 DNS 的恶意软件传播风险日益增加，尤其是随着 DNS over HTTPS 和 DNS over TLS 等加密技术变得越来越普及。

坎贝尔说：“除非你是那些自己进行网络内 DNS 解析的公司之一，否则你甚至无法判断请求是什么，更不用说它是正常的还是可疑的。”

通过利用这些加密的 DNS 协议，网络犯罪分子可以有效地将有效载荷偷运到大多数检测系统之外，从而使 DNS 成为越来越有吸引力的隐秘恶意软件分发载体。

查看评论