Atores de ameaça intensificaram suas táticas ao adotar registros DNS TXT e a pré‑busca de cache dos navegadores como vetores para ocultar cargas maliciosas, segundo relatório da Dark Reading. Essa evolução dificulta a identificação das fases iniciais de um ataque, pois os indicadores tradicionais de tráfego de rede não revelam imediatamente a presença do código nocivo.
Esse comportamento surge em um cenário onde defensores já enfrentam dificuldades para monitorar comunicações criptografadas e tráfegos legítimos. Historicamente, os invasores utilizavam servidores de comando e controle (C2) baseados em HTTP ou DNS para transmitir instruções, mas a detecção desses canais tem melhorado com ferramentas de análise de fluxo. Ao migrar para registros DNS TXT, que normalmente transportam informações de texto para configurações de domínio, os criminosos aproveitam um canal considerado benigno pelos sistemas de segurança.
A prática tem implicações significativas para organizações de todos os portes. Quando a carga maliciosa é armazenada em um registro TXT, ela pode ser recuperada por um cliente que resolve o nome de domínio, sem gerar tráfego suspeito visível. Além disso, a pré‑busca de cache dos navegadores permite que o código seja carregado antes mesmo de o usuário interagir com a página, reduzindo a janela de tempo para a detecção por soluções baseadas em comportamento. Empresas que dependem de filtros de DNS ou de inspeção de pacotes podem ver suas defesas contornadas, expondo dados sensíveis e sistemas críticos.
Do ponto de vista técnico, o registro DNS TXT funciona como um campo de texto que pode conter até 255 caracteres por segmento, permitindo a codificação de scripts em base64 ou outras formas de ofuscação. O invasor registra o domínio controlado, insere a carga codificada no TXT e, em seguida, instrui o malware a resolver o nome, decodificando o conteúdo localmente. Paralelamente, a pré‑busca de cache, recurso implementado nos navegadores modernos para melhorar a experiência do usuário, solicita recursos vinculados a uma página antes que o usuário clique neles. Quando manipulada, essa funcionalidade pode forçar o download silencioso de scripts maliciosos, que são então executados em memória.
Na prática, a combinação desses dois vetores cria um caminho de ataque que contorna a maioria das soluções de prevenção de intrusão (IPS) e dos sistemas de detecção de anomalias baseados em assinatura. Os analistas recomendam a implementação de monitoramento avançado de consultas DNS, com foco em padrões incomuns de tamanho e frequência de registros TXT, bem como a revisão das políticas de pré‑busca nos navegadores corporativos. Ferramentas de análise de tráfego que correlacionam consultas DNS com atividades de rede subsequentes podem ajudar a identificar comportamentos suspeitos.
Especialistas em segurança apontam que a adaptação dos atacantes reflete uma tendência maior de exploração de protocolos considerados seguros ou de baixa prioridade nas listas de bloqueio. Até o momento, não foram divulgados indicadores de comprometimento (IOCs) específicos, mas a comunidade de resposta a incidentes está atualizando suas bases de dados para incluir padrões de uso de DNS TXT em campanhas recentes. Organizações são aconselhadas a revisar suas configurações de DNS, aplicar políticas de whitelist restritivas e considerar a desativação da pré‑busca de cache em ambientes críticos.
Em resposta a isso, fornecedores de segurança estão lançando atualizações que ampliam a visibilidade sobre consultas DNS e permitem a aplicação de regras de bloqueio mais granulares. A expectativa é que, com a conscientização crescente sobre essa técnica, as defesas evoluam para detectar e mitigar a inserção de cargas maliciosas via DNS TXT e pré‑busca de cache. Fonte: Dark Reading.