DNS Messenger RAT dengan PowerShell

Peneliti keamanan menemukan sebuah Remote Access Trojan baru (RAT) yang menggunakan teknik baru untuk menghindari deteksi pada jaringan perusahaan dengan mengambil perintah PowerShell berbahaya disimpan di dalam DNS TXT record domain, malware ini dijuluki DNSMessenger.

Kemunculan RAT baru ini mengundang perhatian, apalagi setelah ditemukan menemukan string Base64 yang diterjemahkan kembali ke “SourceFireSux,” Sourcefire menjadi salah satu produk keamanan perusahaan Cisco. Tapi di luar dugaan, malware juga lebih canggih dari yang diduga.

Menurut analisis teknis infeksi dimulai ketika korban menerima dokumen Word melalui email, yang ketika dibuka, file menyamar sebagai Protected Document dan meminta pengguna mengklik tombol untuk mengaktifkan konten agar melihat isi dokumen, namun hal ini malah akan mengeksekusi scripting berbahaya yang tertanam di dalam.

Script ini ditulis dalam Powershell, bahasa scripting yang kuat dibangun dalam Windows yang memungkinkan untuk otomatisasi tugas-tugas administrasi sistem. Yang menarik adalah bahwa sampai saat ini, semuanya dilakukan dalam memori, tanpa menulis file berbahaya ke disk.

Script ini berisi petunjuk dasar untuk terus memastikan konsistensi serangan pada host yang terinfeksi dengan memodifikasi kunci registri, memeriksa versi PowerShell, dan operasi lainnya. Ini juga merupakan tahap pertama dari empat tahap proses infeksi. Selama tahap berikut, malware akan mengirim permintaan DNS ke salah satu beberapa domain manual dalam source code.

Tahap kedua juga dilakukan pada PowerShell dan melibatkan beberapa pemeriksaan parameter lingkungann, seperti hak-hak login pengguna dan versi Powershell yang diinstal pada sistem. Informasi ini digunakan untuk menentukan bagaimana kemungkinan melanjutkan ke langkah berikutnya.

Meski tergantung hasil pemeriksaan pada tahap dua, namun naskah Powershell lain akan disimpan baik dalam Alternatif Data Stream (ADS) dalam sistem file NTFS atau langsung di dalam registri. Tahap ketiga Script Powershell berisi script tambahan disamarkan yang menetapkan dua arah saluran komunikasi yang cukup canggih atas Domain Name System (DNS).

DNS biasanya digunakan untuk mencari alamat Internet Protocol yang terkait dengan nama domain, tetapi memiliki dukungan untuk berbagai jenis rekaman. TXT record khususnya memungkinkan server DNS untuk melampirkan teks yang belum diformat untuk respon.

Semua komunikasi C2 (command and control) terkait dengan malware ini dilakukan dengan menggunakan query DNS TXT dan responnya. saluran komunikasi rahasia ini memungkinkan pelaku untuk mengirimkan perintah untuk dieksekusi pada sistem dan menerima output dari perintah tersebut.

Perusahaan biasanya berusaha keras untuk menyaring traffic HTTP dan HTTPS yang masuk dan keluar dari jaringan mereka, tetapi tidak banyak dari mereka memantau DNS. Pelaku tahu ini dan tetap bersembunyi dalam protokol lain di dalam DNS untuk tetap tidak terdeteksi.

Hal ini juga menggambarkan pentingnya melakukan pemeriksaan dan penyaringan jaringan protokol seperti HTTP/HTTPS, SMTP/POP3, dan lain-lain. Traffic DNS dalam jaringan perusahaan juga harus dipertimbangkan sebagai saluran yang dimanfaatkan oleh pelaku untuk menerapkan fungsi dua arah infrastruktur C2

 

Sumber berita
https://www.bleepingcomputer.com