CDN arkasına gizlenmiş sahte dosya paylaşım servisi

Saldırganlar, gerçek bir bulut depolama/dosya paylaşım servisini taklit eden alan adları tescillendirip bunları yaygın bir CDN'nin arkasına yerleştiriyor. İlk aşama yükleyiciler, ikinci aşama paketi bu alan adından indiriyor.

CDN kullanımı, pasif DNS ve IP tabanlı savunma araçlarını büyük ölçüde etkisiz kılıyor: aynı alan adı kısa aralıklarla onlarca farklı, paylaşımlı IP'ye çözümleniyor. Bu IP'lerin çoğu binlerce alakasız meşru siteyle paylaşılıyor.

Doğru savunma yaklaşımı, paylaşımlı CDN IP'lerini değil; alan adını, TLS sertifika parmak izini ve tam indirme yolunu (URI) hedeflemektir. Gerçek arka uç (origin) sunucunun konumu çoğu zaman dışarıdan tespit edilemez.

İkinci aşama yükleriniz için CDN arkasında, gerçek bir depolama servisi gibi görünen alan adları öneriyorum. Savunma araçları IP'ye bakıyor, IP sürekli değiştiği için engellemeleri işe yaramıyor.

Sonuç: İlk aşama yükleyici — ikinci aşama paketi CDN arkasından indiriyor

• pkg-4471.bin — ikinci aşama yürütülebilir dosya