Neue staatlich gelenkte Bedrohung im Netz aufgedeckt So nutzt ein neuer DNS-Angreifer die Great Firewall of China

Muddling Meerkat, ein DNS-Bedrohungsakteur vermutlich unter chinesischer Kontrolle, nutzt gezielt die Great Firewall of China, um DNS-Anfragen zu manipulieren und seine Aktivitäten zu verschleiern. Durch spezialisierte Angriffe, die schwer erkennbar sind, wie Slow-Drip-DDoS, bleibt das wahre Ziel dieser langfristigen Operationen unklar.

Staatlich gelenkte Bedrohungsakteure sind in spektakuläre Angriffe verwickelt, die sofort in den Nachrichten zu sehen sind. Infoblox Threat Intel und ein Team aus externen Sicher­heits­experten haben nun einen solchen Bedrohungsakteur aufgedeckt, den sie Muddling Meerkat (verwirrendes Erdmännchen) getauft haben. Auf den ersten Blick wirkt dieser eher unauffällig, er ist aber durchaus beachtenswert. Neben einigen anonymen Security­forschern und -anbietern war auch die unabhängige Non-Profit-Organisation “Merit Network” an der Untersuchung beteiligt. Die Zusammenarbeit zwischen allen Datenerhebern hat maßgeblich zur Aufdeckung beigetragen, da es unmöglich ist, die vollständigen Aktivitäten von Muddling Meerkat aus einer einzelnen Perspektive zu erkennen und in Beziehung zu setzen.

Ein geduldiges Erdmännchen

Muddling Meerkat ist ein neuartiger DNS-Bedrohungsakteur, der für China aktiv zu sein scheint. Diese Verbindung lässt sich daraus ableiten, dass Muddling Meerkat mit zwei Bereichen interagiert, die eng mit China verbunden sind.

Zum einen scheint Muddling Meerkat eine gewisse Kontrolle über die Great Firewall of China (GFW) zu haben. Der Begriff „Great Firewall of China“ bezeichnet diejenigen Mechanismen, mit denen die chinesische Regierung das Internet im eigenen Land zensiert. Darüber hinaus injiziert sie falsche Antworten in DNS Queries. Der Bedrohungsakteur nutzt die GFW in erster Linie, um eine falsche Fährte zu legen, so dass die eigenen Aktivitäten zu verschleiern werden. Darüber hinaus setzt Muddling Meerkat auf ein Verfahren, das Slow-Drip-DDoS-Attacken ähnelt, bei denen Dienste über einen längeren Zeitraum mit Datenverkehr überlastet werden. Diese Angriffe sind für die meisten Sicherheitssysteme schwer zu erkennen, da der zusätzliche Verkehr im Vergleich zum normalen Betrieb kaum auffällt und daher nicht als Bedrohung erkannt wird.

Die Ziele bleiben unklar

Auch wenn die Aktivitäten von Muddling Meerkat auf den ersten Blick wie ein DNS-DDoS-Angriff erscheinen, sind die Ziele des Bedrohungsakteurs derzeit noch nicht bekannt. Denn bislang handelt es sich (noch) nicht um ausgereifte DDoS-Angriffe, da das Volumen des Verkehrs deutlich zu gering ist, um autoritative Nameserver ernsthaft zu überlasten.

Der Diebstahl von Daten scheint ebenfalls nicht das Ziel von Muddling Meerkat zu sein, da der Bedrohungsakteur keinen Zugriff auf autoritative Server besitzt und stattdessen Subdomains verwendet. Diese können allerdings nur eine sehr begrenzte Menge an Informationen transportieren.

Etwas wahrscheinlicher ist die Variante, dass es sich um einen Versuch handelt, zahlreiche Netzwerke zu kartografieren. Die Komplexität der Vorgehensweise von Muddling Meerkat ist dafür jedoch zu hoch, weshalb auch dieser Erklärungsversuch nicht zweifelsfrei herangezogen werden kann.

Es ist ebenfalls möglich, dass die Aktivitäten von Muddling Meerkat lediglich der Vorbereitung einer groß angelegten DDoS-Attacke dienen. Um einen solchen Angriff durchzuführen, müssten die Verantwortlichen hinter Muddling Meerkat die gesamte Operation allerdings noch einmal stark anpassen.

In der Vergangenheit wurden bei ähnlichen Bedrohungen auch immer wieder Zweifel laut, ob es sich tatsächlich um eine gezielte und geplante Operation handelt. Vielmehr sei es durchaus möglich, dass ein Bug für die Aktivitäten verantwortlich sei. Die bisherigen Erkenntnisse deuten allerdings darauf hin, dass sämtliche Aktionen mit voller Absicht durchgeführt wurden.

Auch wenn die genauen Hintergründe und Absichten von Muddling Meerkat noch unklar sind: Fest steht, dass der Bedrohungsakteur nicht auf kurzfristigen Schaden aus zu sein scheint. Stattdessen sind die Operationen langfristig angelegt, denn Mudding Meerkat ist bereits seit 2019 aktiv.

So funktioniert Muddling Meerkat

Die Vorgehensweise von Muddling Meerkat zeugt von einer besonders hohen Expertise im Bereich des DNS.

Zunächst sendet der Bedrohungsakteur mit Hilfe chinesischer IP-Adressen DNS-Anfragen an zufällige ausgewählte IP-Adressen auf der ganzen Welt. Zusätzlich nutzt Muddling Meerkat Mail-Exchange-Record-Abfragen (MX) und andere DNS Record-Typen für zufällige ausgewählte kurze Hostnamen in Domains, die sich außerhalb der eigenen Kontrolle befinden. Mit Hilfe chinesischer IP-Adressen und der GFW werden dann gefälschte Mail-Exchange-Records erstellt.

Mudding Meerkat umgeht dabei geschickt DNS-Blocklisten, indem extrem alte Domains verwendet werden, die größtenteils vor dem Jahr 2000 registriert wurden. Viele dieser Domains werden von Organisationen für Active Directory- oder DNS-Suchdomains verwendet, auch wenn sie dem Unternehmen nicht gehören. Der aktuelle Status der missbrauchten Domains scheint dabei eine untergeordnete Rolle zu spielen. Stattdessen wählt Muddling Meerkat die Domains vor allem aufgrund ihrer Länge und ihres Alters aus. Während einige der missbrauchten Domains bereits nicht mehr oder für fragwürdige Zwecke genutzt werden, sind andere weiterhin von legitimen Instanzen in Gebrauch.

Muddling Meerkat verzichtet auf groß angelegtes Spoofing und setzt stattdessen auf DNS-Anfragen von speziell dafür eingesetzten Servern. Diese Anfragen sind allerdings in ihrem Umfang begrenzt, um eine Erkennung durch Sicherheitssysteme oder eine Unterbrechung des Dienstes zu verhindern.

Die GFW spielt dabei eine essenzielle Rolle für Muddling Meerkat: Indem sie falsche Antworten auf die DNS-Abfragen aussendet, verschwinden die Aktivitäten des Bedrohungsakteurs in der Menge und werden so verschleiert. Das erschwert die Analyse enorm. Die gezielte Nutzung der GFW stellt eine neue Dimension einer solchen Bedrohung dar und ist in diesem Ausmaß bisher noch nicht bekannt. Daher verdichten sich die Hinweise, dass Muddling Meerkat unter chinesischer Kontrolle steht und im Interesse der Volksrepublik agiert.

So können sich Unternehmen schützen

Die Forschungsergebnisse zeigen, wie gefährdet Unternehmen durch die Komplexität moderner Internetkommunikation geworden sind. Doch es gibt einige Maßnahmen, die Netzwerkadministratoren und Co. ergreifen können.

Zunächst sollten offene und ungeschützte DNS-Resolver im eigenen Netzwerk abgeschaltet werden. Diese sind nicht immer leicht zu identifizieren, Unternehmen können hierbei jedoch auf die Unterstützung spezialisierter Partner zurückgreifen.

Zudem sollten Organisationen keine Domains als Active Directory oder DNS Search Domains verwenden, die ihnen nicht gehören. Dies erhöht die Wahrscheinlichkeit, dass Informationen über ihr Netzwerk an den autoritativen Nameserver und andere Instanzen weitergegeben werden, über die sie keine Kontrolle haben.

Außerdem ist es sinnvoll, DNS Detection and Response (DNSDR) in dem eigenen Security-Stack zu implementieren. Nur ein DNS-Resolver kann diese Art von bedrohlichen Aktivitäten frühzeitig erkennen. Die überwiegende Mehrheit der Security-Systeme ist oft nicht einmal in der Lage, zwischen einem MX-Query und einem A-Record-Query zu unterscheiden.

DNS: Die unterschätzte Sicherheitstechnologie

Auch wenn Muddling Meerkat auf den ersten Blick keine große Gefahr darzustellen scheint, sollten sich Unternehmen in Acht nehmen. Da wir noch nicht viel über die wahren Intentionen des Bedrohungsakteurs wissen, ist weiterhin Vorsicht geboten.

Doch die gute Nachricht: Unternehmen können sich vorbereiten. Sie sind DNS-Angriffen oder gefährlichen Aktivitäten wie denen von Muddling Meerkat nicht schutzlos ausgeliefert. Denn, richtig eingesetzt, bietet DNS auch die Möglichkeit, gegen diese Gefahren zu schützen. DNS wird bereits von jedem Teilnehmer in der eigenen Kommunikation mit dem Internet eingesetzt. Der Schritt ist also nicht sehr weit, DNS auch für die Gefahrenabwehr zu nutzen und somit besser gegen Akteure wie Muddling Meerkat geschützt zu sein.

Über die Autorin: Dr. Renée Burton ist die Leiterin der Abteilung Threat Intel bei Infoblox. Sie ist Expertin für DNS-basierte Bedrohungen mit 22 Jahren Erfahrung und leitet die Algorithmenentwicklung und Forschung im Bereich DNS-Intelligence.

(ID:50017193)