Decoding the tricks: An analysis of poisoned domains in the SubdoMailing Attack

In Red Sift, abbiamo prestato molta attenzione a SubdoMailing – un attacco di domain takeover scoperto per la prima volta nel febbraio 2024. Attori malintenzionati hanno sfruttato record DNS mal gestiti per inviare email fraudolente impersonando brand legittimi.

Abbiamo identificato le organizzazioni interessate nella nostra base clienti e risolto il problema per tutti gli utenti coinvolti entro 72 ore.

L'attacco è stato ampiamente riportato come opera di un singolo gruppo di hacker israeliani che invia spam per indirizzare i lettori verso siti web falsi utilizzati per generare entrate pubblicitarie. Da febbraio abbiamo condotto le nostre analisi sull'attacco e riteniamo che più gruppi stiano utilizzando SubdoMailing per inviare email fraudolente per conto di brand legittimi.

Approfondiamo la ricerca.

Analizzando vari segnali, abbiamo compilato un ampio dataset di domini avvelenati – ovvero domini inclusi nel DNS di brand legittimi che sono stati sfruttati da attori malintenzionati. Questo articolo presenta i risultati di un'analisi completa di un campione di 6.225 domini, di cui 4.527 ancora attivi. Ogni dominio attivo include un elenco di range IP nel proprio record SPF, comprendenti IP recuperati in modo ricorsivo dalle istruzioni `include`.

Questi domini avvelenati sono stati registrati di recente. Gli attaccanti utilizzano strategie diverse per nominarli. Evidenziamo le seguenti 4 strategie ed elenchiamo alcuni esempi che abbiamo scoperto nella nostra analisi.

In questa strategia, gli attori malintenzionati hanno utilizzato una strategia di typo-squatting. Hanno registrato domini simili a brand o servizi popolari che potevano essere digitati per errore nel DNS di un'organizzazione – dando loro così la possibilità di inviare email per conto dell'organizzazione. Sebbene l'elenco sia ampio, ecco alcuni esempi che abbiamo scoperto.

• Google ghs.gglehosted.com
• ghs.googlehoste.com
• ghs.google-hosted.com
• ghs.google hosted.co
• Microsoft clientconfig.microsofonline-p.net
• clientconfig.microsoftoneline-p.net
• clientconfig.microsoftonlie-p.net
• Amazon amazoses.com
• amasonses.com
• amazanpro.in
• Marketo: 97 domini con il seguente formato mkto-ab010016.com
• mkto-ab020157.com
• mkto-ab030101.com
• Shopify xmyshopify.com
• shopsmyshopify.com

• HubSpot hubspotemails.net
• 26282125hubspotemail.net
• Mailjet spfmailjet.com
• spf-mailjet.com
• Barracuda Networks barracudaneworks.com
• SendGrid sendgrd.net
• sengdrid.net
• sengride.net
• Squarespace squaresspace.info
• sqaurespace-mail.com

• Nameserver onestopsocial.media.atnameserver.icu
• luxuryvilla.ru.atnameserver.icu
• Register servers registar-servers.com
• registrat-servers.com

In questa strategia, un nome di dominio è una concatenazione di alcune parole in inglese. Il numero di parole varia, ma generalmente tra 2 e 4. Se le parole vengono selezionate casualmente da un dizionario, è improbabile che abbiano senso quando messe insieme. Nella nostra analisi, abbiamo scoperto che, sebbene i domini con 2 parole possano sembrare strani, la maggior parte dei domini con 3-4 parole hanno effettivamente senso.

• ailplug.com, chancecolon.com, woundfraction.com
• bestdinnerideas.com, connectviaweb.com, fastcashloans.me
• air-conditioner-with-heater.com, simplythebestevent.co.uk, workfromhomedigital.com

Il processo inizia con una parola base, alla quale vengono aggiunte, rimosse o sostituite una o due lettere per creare una versione con errore di digitazione, aumentando la probabilità di una registrazione del dominio riuscita. Alcune osservazioni:

• La maggior parte delle lunghezze dei domini è intorno a 10, con una variazione di più o meno 2.
• Le parole sono spesso rare o utilizzate in ambiti scientifici come quello medico.

Esempi:

• chromatop (chromatope), despoliat (despoilate), hypnophob (hypnophobia)
• mancipator (emancipator), ntecedency (antecedency), riminogenic (criminogenic)
• pelalagrin (pelaggrin), demaguogies (demagogues), mainvbstream (mainstream)

Un gran numero di domini non appare completamente casuale, ma presenta pattern sottili.

Esempi:

• Inclusione di numeri: 139come.com, 1paket.net, 20xx.gg
• Abbreviazioni: mailsvrc3.com, mccsv.net, mfka.at
• Non inglese: benghalensis.com, juani.me, luezhaoxun.com

Abbiamo fatto due osservazioni degne di nota.

In un albero di lookup SPF, un nodo foglia è un dominio che specifica gli IP esplicitamente nel proprio record SPF, mentre un nodo intermedio è un dominio che utilizza il meccanismo include. La maggioranza (56/59) dei domini elencati come esempi della Strategia 1 (brand e servizi popolari) sono nodi intermedi. Questi nodi intermedi includono altri domini che sembrano essere generati utilizzando combinazioni di parole (Strategia 3) o pattern meno evidenti (Strategia 4). Di seguito sono riportati gli alberi SPF per ghs.google-hosted.com e clientconfig.microsoftonline-p.net. Tutti i nodi sul lato destro delle figure sono nodi foglia con meccanismi IP espliciti nei loro record.

La seconda osservazione riguarda i domini generati attraverso la mutazione di parole inglesi (Strategia 3).

• Tutti questi domini sono nodi foglia.
• Non sono inclusi in nessun altro dominio ed esistono come strutture piatte.
• I record SPF per questi domini contengono tipicamente un numero molto piccolo di indirizzi IP rispetto ad altri domini. Solitamente includono fino a 8 indirizzi IP, con alcune eccezioni che ne hanno 256 (una sottorete /24).

La conclusione più importante: questi domini sono significativamente diversi dagli altri in più aspetti, quindi è probabile che appartengano a un gruppo separato di attaccanti.

Nella nostra analisi di 4.527 domini attivi, abbiamo identificato solo 938 record SPF univoci. Questo indica che molti domini condividono record SPF identici o presentano una significativa sovrapposizione negli indirizzi IP. Il nostro obiettivo è approfondire l'indagine e mappare i pattern di condivisione degli indirizzi IP nei dati raccolti.

Per estrarre gli IP dai record SPF, abbiamo seguito questi passaggi:

• Per i record che contengono IP espliciti, il processo è semplice (ad esempio, v=spf1 1.2.3.4/30).
• Per i record che utilizzano il meccanismo include, abbiamo risolto in modo ricorsivo i domini incluso per raccogliere tutti gli IP associati (ad esempio, v=spf1 include:domain1.com include:domain2.com).

Da qui, siamo in grado di costruire una rete di domini in cui un nodo è un dominio o un gruppo di domini che condividono lo stesso record SPF. Due nodi hanno una connessione se condividono alcuni IP.

• La dimensione del nodo rappresenta il numero di domini che condividono lo stesso record SPF. Il gruppo più grande nel nostro dataset include 399 domini con il record SPF v=spf1 include:countrymessage.com include:whenstocks.com -all.
• La dimensione dell'arco indica il numero di IP condivisi tra due gruppi di domini.
• Il colore del nodo rappresenta i cluster in cui i nodi all'interno dello stesso cluster hanno connessioni più forti rispetto ai nodi in altri cluster. I dettagli sul clustering sono forniti più avanti.

Per migliorare la chiarezza e concentrarci sulle connessioni significative, applichiamo diverse operazioni:

• Unione dei domini sovrapposti: i domini con indirizzi IP fortemente sovrapposti vengono uniti.
• Visualizzazione del componente più grande: la maggior parte dei domini sono interconnessi attraverso vari passaggi. Visualizziamo solo il componente connesso più grande.
• Filtraggio delle connessioni debole: gli archi che rappresentano meno di 128 IP condivisi vengono rimossi, evidenziando la rete 'forte'.

Abbiamo utilizzato un algoritmo di rilevamento delle community per identificare i cluster. Ogni cluster si concentra attorno a un grande gruppo di domini (nodi grandi), che tipicamente include domini intermedi. Questi domini intermedi possono includere in modo ricorsivo altri domini intermedi o foglia, formando cluster densi. I domini foglia possono condividere IP con quelli di altri cluster, collegando i cluster tra loro.

I cluster hanno senso in termini di condivisione degli IP. Ma quali altre caratteristiche presentano questi cluster?

I cluster comprendono un mix di domini intermedi e foglia. In particolare, i 59 domini di brand sono distribuiti in tutti i cluster. I domini generati attraverso la mutazione di parole non sono visibili in questa visualizzazione poiché includono pochi IP e vengono filtrati.

Un ASN (Autonomous System Number) è un identificatore univoco assegnato a ciascun sistema autonomo (AS) su internet. Un AS è una raccolta di reti IP e router gestiti da una singola organizzazione che segue una politica di routing comune. La nostra analisi rivela che gli ASN sono distribuiti in modo non uniforme tra i diversi cluster, indicando controlli organizzativi diversi nell'intero attacco.

Analizzare un attacco complesso come SubdoMailing non è un compito semplice. Tuttavia, la nostra ricerca indica che SubdoMailing è semplicemente una tattica utilizzata da gruppi in tutto il mondo per inviare spam e impersonare brand legittimi.

Continuiamo a lavorare con altri attori del settore per comprendere meglio la natura diffusa dell'attacco e continueremo a condividere aggiornamenti periodici.

Se sei interessato a capire se il tuo brand è stato colpito da SubdoMailing, prova lo strumento SPF Checker di Red Sift. Abbiamo inoltre recentemente annunciato DNS Guardian – una nuova funzionalità di Red Sift OnDMARC che i team di sicurezza possono utilizzare per identificare e bloccare rapidamente i domain takeover che portano allo spam.