O sequestro de domínios usando o ataque “Sitting Ducks” continua sendo um tema pouco abordado na comunidade de cibersegurança. Poucos pesquisadores de ameaças estão familiarizados com esse vetor de ataque, e o conhecimento sobre ele é escasso. No entanto, a prevalência dessas ameaças e o risco para as organizações são significativos.
Após sua publicação inicial sobre o Sitting Ducks, a Infoblox Threat Intel se aprofundou nesse tema. O resultado é um novo e revelador relatório que estima que mais de 1 milhão de domínios registrados podem estar vulneráveis, diariamente. O relatório também explora o uso disseminado desse ataque e como vários agentes o utilizam para fortalecer suas campanhas maliciosas.
Mais evidências encontradas sobre ataques Sitting Ducks
Durante um ataque Sitting Ducks, o hacker obtém controle total do domínio ao assumir suas configurações de DNS. Os cibercriminosos usam esse vetor desde 2018 para sequestrar dezenas de milhares de nomes de domínio. Os domínios das vítimas incluem marcas conhecidas, organizações sem fins lucrativos e entidades governamentais.
A Infoblox Threat Intel criou uma iniciativa de monitoramento depois que o artigo inicial sobre ataques de Sitting Ducks foi publicado em julho de 2024. Os resultados são muito preocupantes: foram identificados 800 mil domínios vulneráveis e cerca de 70 mil deles foram posteriormente identificados como sequestrados.
Vipers e Hawks se aproveitando dos ataques Sitting Ducks
Vacant Viper
O Vacant Viper é um dos primeiros agentes maliciosos conhecidos a explorar o ataque Sitting Ducks, tendo sequestrado cerca de 2.500 domínios por ano, desde dezembro de 2019. Esse agente usa domínios sequestrados para ampliar o seu TDS (Traffic Distribution System) chamado 404TDS, com o objetivo de executar operações de spam malicioso, distribuir conteúdo pornográfico, estabelecer comandos e controles (C2s) para trojans de acesso remoto (RATs) e disseminar malwares como DarkGate e AsyncRAT.
O Vacant Viper não sequestra domínios com conexão a marcas específicas, mas busca recursos de domínios com alta reputação, que não serão bloqueados por fornecedores de segurança. O relatório recém-publicado lista exemplos de cadeias de ataque, mostrando técnicas de redirecionamento usadas tanto pelo 404TDS quanto por seus afiliados, incluindo como Vacant Viper utiliza domínios sequestrados no 404TDS.
Vextrio Viper
Esse agente utiliza domínios sequestrados como parte de sua massiva infraestrutura TDS desde o início de 2020. O Vextrio administra o maior programa de afiliados cibercriminosos conhecido, redirecionando o tráfego web comprometido para mais de 65 parceiros afiliados, alguns dos quais também roubaram domínios via Sitting Ducks para suas próprias atividades maliciosas. Muitos desses afiliados usam um serviço antibot russo como método para filtrar bots e pesquisadores de segurança. A funcionalidade do AntiBot inclui a capacidade de definir regras para bloquear determinados serviços de bot ou usuários com base em geolocalização de IP, agente de usuário, entre outros critérios.
