Decoy Dog Malware
Efter att ha genomfört en omfattande undersökning av nyidentifierad skadlig programvara, Decoy Dog, har cybersäkerhetsforskare avslöjat att den representerar ett avsevärt framsteg jämfört med dess grund, den öppna källkodsfjärråtkomsttrojanen Pupy RAT.
Decoy Dog uppvisar ett omfattande utbud av potenta och tidigare okända förmågor, vilket skiljer den åt som ett mer sofistikerat hot. Bland dess anmärkningsvärda egenskaper är kapaciteten att flytta offer till en alternativ styrenhet, vilket gör det möjligt för ogiltiga aktörer bakom skadlig programvara att upprätthålla kommunikation med komprometterade maskiner samtidigt som de undviker upptäckt under längre tid. Anmärkningsvärt nog har det funnits tillfällen där offer omedvetet har interagerat med en Decoy Dog-server i mer än ett år, vilket framhävt smygandet och motståndskraften hos denna skadliga programvara.
Decoy Dog Malware är utrustad med en utökad uppsättning hotfulla funktioner
Den nyligen identifierade skadliga programvaran, Decoy Dog, har flera nya funktioner som skiljer den åt. Noterbart är att Decoy Dog nu har förmågan att exekvera godtycklig Java-kod på klienten, vilket ger den ett mer omfattande utbud av åtgärder.
Dessutom har skadlig programvara utrustats med en mekanism som liknar en traditionell DNS-domängenereringsalgoritm (DGA) för att ansluta till nödkontroller. Den här mekanismen innebär att Decoy Dog-domänerna konstrueras för att svara på återuppspelade DNS-förfrågningar som kommer från klienter som har brutits. Genom detta tillvägagångssätt kan de illvilliga aktörerna bakom Decoy Dog effektivt omdirigera kommunikationen av komprometterade enheter från deras nuvarande kontroller till en annan. Detta kritiska kommando instruerar de komprometterade enheterna att avbryta kommunikationen med den nuvarande styrenheten och upprätta kontakt med en ny.
Upptäckten av denna sofistikerade verktygslåda inträffade i början av april 2023, föranledd av upptäckten av onormal DNS-beaconing-aktivitet. Denna avslöjande visade på skadlig programvaras mycket riktade attacker specifikt riktade mot företagsnätverk.
Cyberkriminella bakom decoy Dog Malware kan rikta sig mot specifika regioner
Ursprunget till decoy Dog har inte definitivt fastställts ännu, men den misstänks drivas av en utvald grupp nationalstatshackare. Dessa hackare använder distinkt taktik samtidigt som de svarar på inkommande förfrågningar som är i linje med strukturen för klientkommunikation, vilket gör det till ett potent och svårfångat hot i cybersäkerhetslandskapet.
Decoy Dog använder effektivt domännamnssystemet (DNS) för sina Command-and-Control-operationer (C2). När en enhet äventyras av denna skadliga programvara upprättar den kommunikation med en utsedd kontrollenhet (server) genom DNS-frågor och IP-adresssvar och tar emot instruktioner från kontrollenheten.
Efter att ha avslöjats av cybersäkerhetsexperter agerade hotaktörerna bakom Decoy Dog snabbt genom att ta ner vissa DNS-namnservrar och snabbt registrera nya ersättningsdomäner för att säkerställa fjärrbeständighet och fortsatt kontroll. Detta gjorde det möjligt för dem att överföra de befintliga komprometterade klienterna till de nya kontrollanterna, vilket visade deras beslutsamhet att behålla tillgången till sina offer.
Den första utplaceringen av Decoy Dog går tillbaka till slutet av mars eller början av april 2022. Sedan dess har tre andra kluster av skadlig programvara upptäckts, var och en styrd av en annan styrenhet. Hittills har totalt 21 Decoy Dog-domäner identifierats. Dessutom har en uppsättning kontroller som registrerats sedan april 2023 anpassat sin taktik genom att implementera geofencing-tekniker. Denna teknik begränsar svar på klientens IP-adresser till specifika geografiska platser, med den observerade aktiviteten främst begränsad till regioner i Ryssland och Östeuropa.
