Los datos de DNS muestran que una de cada diez empresas tiene tráfico de malware en sus redes

En cada trimestre del año pasado, entre el 10 % y el 16 % de las organizaciones tuvieron tráfico de DNS proveniente de sus redes a servidores de comando y control (C2) asociados con botnets conocidos y otras amenazas de malware. Un informe del proveedor de red de entrega de contenido y nube Akamai.

Más de una cuarta parte de ese tráfico se dirigió a servidores propiedad de corredores de acceso inicial, atacantes que venden acceso a redes corporativas a otros ciberdelincuentes, según el informe. “Cuando analizamos el tráfico DNS malicioso de usuarios empresariales y consumidores, identificamos múltiples brotes y campañas, como: Como la proliferación de FluBot, un malware basado en Android que se está extendiendo de un país a otro en todo el mundo, al igual que la proliferación de varios grupos de ciberdelincuentes que tienen como objetivo a las empresas”, dijo Akamai. “Quizás el mejor ejemplo es la presencia significativa de tráfico C2 asociado con agentes de acceso inicial (IAB) que violan las redes empresariales y monetizan el acceso entregándoselo a otros, como: B. Grupos de ransomware como servicio (RaaS)”.

Akamai opera una gran infraestructura de DNS para su CDN global y otros servicios de seguridad y en la nube y puede observar hasta siete billones de solicitudes de DNS por día. Debido a que las consultas de DNS intentan resolver la dirección IP de un nombre de dominio, Akamai puede asignar solicitudes que se originan en redes corporativas o usuarios domésticos a dominios maliciosos conocidos, incluidos aquellos que alojan sitios de phishing, entregan malware o se usan para C2.

El malware podría afectar a un grupo muy grande de dispositivos

Según los datos, entre el 9 % y el 13 % de todos los dispositivos que realizaron consultas de DNS de Akamai cada trimestre intentaron llegar a un dominio de servidor de malware. Entre el 4 % y el 6 % intentaron resolver dominios de phishing conocidos, y entre el 0,7 % y el 1 % intentaron resolver dominios C2.

A primera vista, el porcentaje de dominios C2 puede parecer pequeño en comparación con los dominios de malware, pero tenga en cuenta que estamos hablando de un grupo muy grande de dispositivos que pueden generar 7 billones de consultas de DNS por día. Una solicitud a un dominio que aloja malware no necesariamente resulta en un compromiso exitoso, ya que el malware puede detectarse y bloquearse antes de que se ejecute en el dispositivo. Sin embargo, una consulta de un dominio C2 indica una infección de malware activa.

Las organizaciones pueden tener miles o decenas de miles de dispositivos en sus redes, y un solo dispositivo comprometido puede provocar la toma de control de toda la red, como en la mayoría de los casos de ransomware, ya que los atacantes utilizan técnicas de movimiento lateral para moverse entre los sistemas internos. Al observar los datos de DNS C2 de Akamai por organización, más de una de cada diez organizaciones tuvo un compromiso activo en el último año.