La NSA advierte «Quick Flux» amenaza la seguridad nacional. ¿Qué es el flujo rápido de todos modos?
Una técnica que los estados nacionales hostiles y los grupos de ransomware motivados financieramente están utilizando para ocultar sus operaciones plantea una amenaza para la infraestructura crítica y la seguridad nacional, advirtió la Agencia de Seguridad Nacional.
La técnica se conoce como flujo rápido. Permite redes descentralizadas operadas por actores de amenaza para ocultar su infraestructura y sobrevivir a los intentos de eliminación que de otro modo tendrían éxito. El flujo rápido funciona en bicicleta a través de una gama de direcciones IP y nombres de dominio que estos botnets usan para conectarse a Web. En algunos casos, los IPS y los nombres de dominio cambian todos los días o dos; En otros casos, cambian casi por hora. El flujo constante complica la tarea de aislar el verdadero origen de la infraestructura. También proporciona redundancia. Para cuando los defensores bloquean una dirección o dominio, ya se han asignado nuevos.
Una amenaza significativa
«Esta técnica plantea una amenaza significativa para la seguridad nacional, lo que permite a los actores cibernéticos maliciosos evadir constantemente la detección», la NSA, el FBI y sus contrapartes de Canadá, Australia y Nueva Zelanda Advertido el jueves. «Los actores cibernéticos maliciosos, incluidos los ciberdelincuentes y los actores de estado-nación, usan el flujo rápido para ofuscar las ubicaciones de los servidores maliciosos al cambiar rápidamente los registros del sistema de nombres de dominio (DNS). Además, pueden crear infraestructura de comando y management (C2) resistente, altamente disponible, que oculta sus operaciones maliciosas posteriores».
Un medio clave para lograr esto es el uso de Registros de DNS comodín. Estos registros definen zonas dentro del sistema de nombres de dominio, que mapean los dominios a las direcciones IP. Las comodines causan las búsquedas de DNS para subdominios que no existen, específicamente atando registros de MX (intercambio de correo) utilizados para designar servidores de correo. El resultado es la asignación de una IP atacante a un subdominio como malicioso.instance.com, aunque no existe.
