Variante más reciente de TrickBot utiliza tunelización de DNS para establecer canales de C2

Investigadores de Fortinet FortiGuard Labs identificaron una variante de TrickBot que utiliza DNS tunneling para intercambiar comandos y módulos con sus operadores, en lugar de las conexiones HTTP observadas en versiones anteriores. Esta técnica consiste en ocultar datos no relacionados con DNS dentro de consultas y respuestas legítimas de DNS, permitiendo que el malware se comunique a través de un servicio que la mayoría de redes debe mantener disponible. En las muestras analizadas, TrickBot fragmenta instrucciones y archivos en pequeños bloques, los inserta en peticiones dirigidas al dominio westurn.in y los envía mediante el servicio DNS público de Google (8.8.8.8). El servidor responde con datos que aparentan ser información habitual de resolución de direcciones, y el malware reconstruye el contenido recibido para ejecutar comandos o cargar módulos; Fortinet observó la transferencia de un archivo de 1.2 MB en aproximadamente 40 segundos durante pruebas controladas.

En los sistemas infectados, TrickBot crea una tarea programada de Windows que se ejecuta en el arranque y cada cinco minutos, con nombres diseñados para parecer actualizaciones legítimas (por ejemplo, “Wireshark autoupdate” seguido de un número aleatorio). Para dificultar la detección, almacena el nombre de la tarea y la ruta del ejecutable en Alternate Data Streams (ADS) de NTFS, lo que evita que esos valores aparezcan como ficheros separados en inspecciones rutinarias. Además, el malware cifra cadenas internas y resuelve funciones de Windows en tiempo de ejecución, complicando el análisis estático.

Las capacidades observadas incluyen descarga de módulos ejecutables y DLL, ejecución de código vía rundll32.exe, inyección de código en otros procesos y ejecución en memoria, así como la ejecución de comandos de consola y PowerShell, lo que otorga control remoto, persistencia y la posibilidad de desplegar malware adicional o exfiltrar información. Fortinet detectó múltiples muestras con diferentes hashes pero comportamiento idéntico, clasificadas como W64/TrickBot.WC!tr, y atribuyó la infraestructura de comando al dominio malicioso detectado. Aunque parte de la infraestructura original fue desactivada previamente, la aparición de nuevas variantes y técnicas sugiere que TrickBot sigue siendo una amenaza activa.

Indicadores para administradores: consultas DNS inusualmente largas, peticiones repetidas a subdominios desconocidos, tareas programadas con nombres que imitan actualizaciones de software, actividad sospechosa de PowerShell, procesos que realizan inyección de código y tráfico DNS no autorizado. Estas señales deben motivar una investigación inmediata para identificar y contener compromisos.

Recomendaciones

• Mantener actualizadas las firmas de sistemas de detección de intrusiones (IPS).
• Para equipos Fortinet FortiGate verificar que la firma de IPS Trick.Botnet se encuentre en modo bloqueo.
• Monitorear acciones realizadas en el Windows Task Scheduler.
• Actualizar a versiones recientes de contenido las soluciones de EDR/AV.
• Observar peticiones de DNS que sean demasiado extensas, ya que puden ser un indicio de tunelización de DNS.
• Configurar Indicadores de Compromiso (IoC) en modo bloqueo en soluciones de EDR/AV.

Indicadores de Compromiso (IoCs)

Taxonomía

Referencias

https://hackread.com/new-trickbot-variant-dns-control-infected-windows-pcs/

https://www.fortinet.com/blog/threat-research/inside-a-trickbot-variant-using-dns-tunneling-for-c2

https://www.infosecurity-magazine.com/news/trickbot-dns-tunneling-c2/

El nombre es requerido.

El email es requerido.

El email no es válido.

El comentario es requerido.

↻

El captcha es requerido.

Enviar Comentario

Comentarios