Verwirrender Meerkat APT beim Anwenden von DNS-Tricks entdeckt

Seit Oktober 2019 wurde eine neue Cyberbedrohung namens Muddling Meerkat bei komplexen Aktivitäten im Zusammenhang mit dem Domain Name System (DNS) entdeckt. Dabei handelt es sich offenbar um einen Versuch, Sicherheitsmaßnahmen zu umgehen und weltweit Netzwerke auszukundschaften.

Infoblox, ein Cloud-Sicherheitsunternehmen, vermutet, dass der Bedrohungsakteur wahrscheinlich mit der Volksrepublik China (VRC) in Verbindung steht und möglicherweise Kontrolle über die Große Firewall (GFW) hat, die den Internetverkehr von und nach China verwaltet.

Der Name „Muddling Meerkat“ bezieht sich auf die rätselhafte Natur ihrer Aktivitäten, insbesondere auf ihren Missbrauch offener DNS-Resolver – DNS-Server, die Anfragen von beliebigen IP-Adressen akzeptieren – durch das Senden von Anfragen von chinesischen IP-Adressen.

Laut einem Bericht, der dem Nachrichtenportal The Hacker News vorliegt, stellte Infoblox fest, dass Muddling Meerkat ein tiefes Verständnis von DNS zeigt, was unter Bedrohungsakteuren ungewöhnlich ist, und hebt DNS als wirksames Werkzeug für Angreifer hervor.

Wie Muddling Meerkat DNS manipuliert

Die Bedrohung besteht darin, DNS-Abfragen, auch für Mail Exchange (MX)-Einträge, an Domänen zu initiieren, die nicht dem Akteur gehören, sich aber unter gängigen Top-Level-Domänen wie .com und .org befinden.

Infoblox entdeckte diese Bedrohung, indem es anomale DNS-MX-Eintragsanfragen von Kundengeräten beobachtete. Sie entdeckten über 20 solcher Domänen, von denen keine Muddling Meerkat gehörte.

Dr. Renée Burton von Infoblox erklärte, dass Muddling Meerkat eine Beziehung zur GFW haben müsse, um gefälschte DNS-MX-Einträge zu generieren, ein Verhalten, das zuvor nicht beobachtet wurde.

Die GFW, die DNS-Spoofing und -Manipulation einsetzt, fügt gefälschte DNS-Antworten für blockierte Abfragen ein. Das einzigartige Merkmal von Muddling Meerkat sind die falschen MX-Eintragsantworten von chinesischen IP-Adressen, die sich vom typischen GFW-Verhalten unterscheiden.

Das Motiv hinter den Aktivitäten von Muddling Meerkat ist weiterhin unklar, es könnte sich jedoch um Internet-Mapping oder Recherchen handeln.

Burton betonte, dass es sich bei Muddling Meerkat um einen hochentwickelten chinesischen staatlichen Akteur handele, der gezielte DNS-Operationen gegen globale Netzwerke durchführe, was aufgrund des unklaren vollen Umfangs seiner Operationen Anlass zur Sorge gebe.

Insgesamt stellen die Aktivitäten von Muddling Meerkat andere Herausforderungen dar als typische Malware-Operationen und erfordern anhaltende Wachsamkeit und Untersuchungen durch die Cybersicherheitsbehörden.