伊朗駭客組織Oilrig在攻擊中利用DNS-over-HTTPS協議

E安全8月10日訊，最近據外媒報導，卡巴斯基研究人員發現伊朗的Oilrig駭客組織在工具庫中添加了DNSExfiltrator工具，該工具是GitHub上可用的開源項目， 通過收集數據並將其隱藏在非標準協議中來創建隱蔽的通訊通道。

研究人員表示，伊朗一個名為Oilrig的駭客組織已成為第一個將DNS-over-HTTPS（DoH）協議納入其攻擊武器的威脅者。

Oilrig有可能使用DoH作為滲透渠道，在受害者網路中橫向移動，以便進行數據竊取或監視活動。據悉，DoH協議是當前理想的滲透渠道，首先，這是一個新協議，並非所有安全產品都能夠監視；其次，DoH協議是默認加密的，這能夠避免在竊取數據時被檢測。

從歷史研究數據上來看，該小組涉足基於DNS的滲透技術。根據Talos，NSFOCUS和Palo Alto Networks等研究團隊的報告，在5月份採用開放源DNSExfiltrator工具包之前，該小組至少從2018年起就一直使用名為DNSpionage的定制工具。

Oilrig 組織之前就有DNS滲透歷史，並在2018年就開始使用 名為DNSpionage的定制工具，因此，Oilrig是首批部署DoH的APT組織也不足為奇。

卡巴斯基在5月中稱 Oilrig 組織通過DoH協議將竊取的數據傳輸到與COVID-19相幹的域中。在同月，Reuters報導了由身份不明的伊朗駭客策劃的魚叉式網路釣魚活動，該活動針對的是員工制藥巨Gilead，當時 Gilead 宣布開始研究COVID-19病毒的治療方法。但是，目前尚不清楚這些事件是否相同。

註：本文由E安全編譯報導，轉載請註原文地址https://www.easyaq.com