安全動態(tài)

首款利用 DNS over HTTPS 隱藏網(wǎng)絡(luò)流量的惡意軟件 Godlua 已經(jīng)現(xiàn)身

來源:聚銘網(wǎng)絡(luò)    發(fā)布時間:2019-07-04    瀏覽次數(shù):
 

信息來源:hackernews

為了提升域名解析服務(wù)的安全性,行業(yè)內(nèi)推出了叫做 DNS over HTTPS 的解決方案(簡稱 DoH)。然而 Network Security 研究實驗室的伙計們,已經(jīng)發(fā)現(xiàn)了首個利用 DoH 協(xié)議的惡意軟件,它就是基于 Lua 編程語言的 Godlua 。這個名字源于 Lua 代碼庫和七種一個樣本源碼中包含的神奇字符 God 。

89b16aba88672c1

這款后門程序可利用 DoH 來掩蓋其 DNS 流量

基于 HTTPS 的域名解析服務(wù)的增長勢頭一直很強勁,去年 10 月,互聯(lián)網(wǎng)工程任務(wù)組正式發(fā)布了 DoH(RCF 8484)。

盡管并不是新鮮的概念,但首個利用 DoH 的惡意軟件,還是讓行業(yè)提前感受到了影響未來的新一輪正邪攻防戰(zhàn)。

Netlab 研究人員在報告中提到,他們發(fā)現(xiàn)了一個可疑的 ELF 文件,但最初誤以為它只是一款加密貨幣挖礦木馬。

盡管尚未確認或否認任何加密貨幣的挖掘功能,但他們已證實其行為更像是分布式拒絕服務(wù)(DDoS)機器人。

bdfff6ca3373774

(截圖 via TechSpot

研究人員觀察到,該文件會在被感染系統(tǒng)上作為“基于 Lua 的后門”來運行,且注意到至少有一次針對 liuxiaobei.com 的 DDoS 攻擊。截至目前,Netlab 已經(jīng)發(fā)現(xiàn)了至少兩個未利用傳統(tǒng) DNS 的變種。

借助 DNS over HTTPS,惡意軟件可通過加密的 HTTPS 連接來隱藏其 DNS 流量,使得 Godlua 能夠躲過 DNS 監(jiān)控,這已經(jīng)足夠讓網(wǎng)絡(luò)安全專家感到震驚。

據(jù)悉,谷歌和 Mozilla 都已經(jīng)提供了對 DoH 的支持,前者甚至將 DoH 作為其公共 DNS 服務(wù)的一部分。此外,Cloudflare 等互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)提供商,也提供了對 DoH 的支持。

 
 

上一篇:18家互聯(lián)網(wǎng)企業(yè)存在個人信息保護等問題

下一篇:2019年07月04日 聚銘安全速遞