Amsterdam, 18 juli 2024 — Infoblox Threat Intel heeft een
onderzoek gepubliceerd naar het gebruik van
registered domain generation-algoritmes (RDGAs) door criminele actoren. Een RDGA verschilt van traditionele algoritmes voor domeinnamen (DGA) door het feit dat alle domeinen legitiem zijn geregistreerd. Deze techniek werd voor het eerst in 2023 ontdekt, waarbij bleek dat RDGA’s criminelen helpen om detectie te vermijden en op grotere schaal aanvallen uit te voeren. RDGA’s zijn vervolgens aangetroffen in de aanvalsketen van niet alleen malware, maar ook linkverkorters zoals
Prolific Puma en traffic distribution systems zoals
VexTrio Viper en
Savvy Seahorse.
Met behulp van nieuwe monitoring-algoritmes komt het Infoblox Threat Intel-team dagelijks tienduizenden nieuwe domeinen op het spoor die eerder niet als malafide zijn aangemerkt. Verder onderzoek toont aan dat het gebruik van RDGA’s de afgelopen jaren sterk is gegroeid en voor verschillende doeleinden wordt ingezet, van malware tot fraude.
Revolver Rabbit: een RDGA-actor met diepe zakken
Een van de meest opmerkelijke voorbeelden van RDGA-gebruik is
Revolver Rabbit, een actor die meer dan 500.000 domeinen heeft geregistreerd, voor meer dan $1 miljoen aan registratiekosten.
De motivatie achter deze massaregistratie was maandenlang onduidelijk, totdat ontdekt werd dat Revolver Rabbit command-and-control- en namaakdomeinen aanmaakt voor de XLoader-malware (ook bekend als Formbook). Deze malware steelt gegevens en wordt doorgaans via phishingmails verspreid. Gezien de aanzienlijke investering in domeinregistratie moet deze malware nogal winstgevend zijn voor Revolver Rabbit. Het verbinden van de Revolver Rabbit RDGA aan een gevestigde malware na maanden van volgen benadrukt het belang van het begrijpen van RDGA's als een techniek binnen de toolbox van dreigingsactoren.
Het onderzoek toont aan dat RDGA's een grote en onderschatte dreiging vormen. Actoren kunnen hun spam-, malware- en fraudecampagnes eenvoudig opschalen, vaak zonder dat ze bang hoeven te zijn dat de securitybranche ze ontdekt. Bovendien maakt de automatisering van domeinregistratiediensten het voor cybercriminelen gemakkelijk om een RDGA te gebruiken. Infoblox wil met dit nieuwe onderzoek dan ook het bewustzijn vergroten over deze groeiende trend in malafide domeinregistraties.
Lees meer over RDGA’s in dit
Infoblox blog.
Over Infoblox
Infoblox verenigt ongeëvenaarde netwerkprestaties en security. Fortune 100-bedrijven en opkomende innovators vertrouwen op Infoblox voor real-time zichtbaarheid en controle over wie en wat verbinding maakt met hun netwerk, zodat hun organisaties efficiënter functioneren en bedreigingen eerder worden gestopt. Ga naar infoblox.com voor meer informatie of volg ons op LinkedIn en X.