Wouter Hoeffnagel - 24 april 2023

Organisaties wereldwijd doelwit van nieuwe Russische malware

Een nieuwe dreiging is gedoken: ‘Decoy Dog’. Dit is een malware-toolkit die communiceert met een Russisch IP-adres en organisaties over de hele wereld onopgemerkt aanvalt. Deze malware, die opereert op DNS-niveau, is heel lastig te spotten. Bovendien passen de activiteiten in het profiel van een Advanced Persistent Threat (APT)-actor met staatssteun.

Security Data protection Identity protection

Organisaties wereldwijd doelwit van nieuwe Russische malware image

De Threat Intelligence Group van Infoblox waarschuwt voor Decoy Dog. Begin april 2023 ontdekte en valideerde Infoblox een eerder onbekende remote access trojan (RAT), malware die actief was binnen meerdere bedrijfsnetwerken. Het werd snel duidelijk dat dit om gerichte aanvallen ging. Nu bevestigen de onderzoekers dat al deze aanvallen zijn te herleiden naar de Decoy Dog-toolkit.

Netwerkcommunicatie kapen

Aanvallen verlopen via zogenoemde Command-and-Control (C2) servers, die via malware netwerkcommunicatie kunnen kapen om zo controle uit te oefenen op geïnfecteerde netwerken en apparaten. In het geval van deze RAT – de open source-rat ‘Pupy’ – wordt het DNS-protocol gebruikt om controle te krijgen over besmette apparaten. In de oceaan van DNS-verkeer valt de beperkte data-uitwisseling tussen de C2-server en besmette apparaten niet snel op. Hierdoor zijn deze aanvallen erg moeilijk te detecteren als ze niet in de context van een wereldwijd dreigingsinformatiesysteem worden geanalyseerd.

De Infoblox Threat Intelligence-onderzoekers werken samen met andere organisaties om deze nieuwe dreiging in kaart te brengen én de identiteit en beweegredenen van de aanvallers te achterhalen. Er is actieve C2-communicatie gedetecteerd in de VS, Europa, Zuid-Amerika en Azië in uiteenlopende sectoren, van de gezondheidszorg tot de energiesector en financiële dienstverlening.