DNSMon: 用DNS数据进行威胁发现（4）
<p>----用DNS数据发现大规模垃圾邮件的投递</p><p></p><!--kg-card-begin: markdown--><p>从2021年开始DNSMon相继看到以slot0为第一级label的域名，形如下表。并且从3月份开始，这类域名开始出现大规模的DNS请求访问。</p>
<pre><code>slot0.aberalunim.xyz
slot0.desceet.com
slot0.easketh.com
slot0.fianinc.com
slot0.gleccus.com
slot0.healforec.com
slot0.hibiscus-solution.com
slot0.mindrey.biz
slot0.rut-hagener.com
slot0.tonytonero.com
slot0.westlakeservice.net
</code></pre>
<h2 id="">数据之间的联系</h2>
<p>为了更好的观察他们之间的联系，从这些域名出发，对他们映射的IP地址的网段做DNS的反向查询，再次筛选slot0开头的域名，找到其他的上百个近似域名。然后将这些域名通过图系统进行关联，可以看到这些这些域名之间几乎没有特别紧密的关联，每个域名和他的基础设施之间几乎都是单线联系。如下图所示：<br>
<img src="__GHOST_URL__/content/images/2021/03/graph_no_connects.png" alt="graph_no_connects" loading="lazy"></p>
<p>不过尽管IP，注册人以及其他的节点缺乏关联，但是我们很快发现：</p>
<ol>
<li>这些域名有着近乎相同的子域名，包括dkim._domainkey. 和 _dmarc 。而DKIM和DMARC都是防垃圾邮件的机制。一般情况下都有相应的DNS TXT记录会保存相应域名的DKIM和DMARC信息。</li>
</ol>
<p><img src="__GHOST_URL__/content/images/2021/03/dmarc.png" alt="dmarc" loading="lazy"><img src="__GHOST_URL__/content/images/2021/03/dkim.png" alt="dkim" loading="lazy"></p>
<ol start="2">
<li>他们使用的IP尽管并不相同，但是网段却非常接近。从这一点来看，他们该业务租用的机房是比较一致的。</li>
</ol>
<p><img src="__GHOST_URL__/content/images/2021/03/IP.png" alt="IP" loading="lazy"></p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h2 id="">投递垃圾邮件？</h2>
<p>从子域名的特征上，我们推断这组域名是和发送电子邮件相关的。<br>
通过进一步对图系统的扩展，我们找到了相应的邮件样本，邮件样本表明这些域名是投递垃圾邮件，并在附件中传播formbook，AgentTesla等恶意程序，由此判断他们是一组传播恶意程序的垃圾邮件僵尸网络。<br>
<img src="__GHOST_URL__/content/images/2021/03/abuse.ch.png" alt="abuse.ch" loading="lazy"></p>
<h2 id="">在证书上的关联</h2>
<p>在这些域名的注册邮箱中，有一个邮箱为 <code>obipeter8@gmail.com</code> ，通过DNSMon的证书库查询可以看到很多证书相关联的域名的子域名同样包含slot0，dmarc和dkim子域名，由此几乎可以确定这一组证书都是用来为投递垃圾邮件做的准备。</p>
<p>NOTE：这部分数据待补充，完善了证书库的索引之后可以添加相应内容。</p>
<h2 id="">数据规模</h2>
<p>DNSMon看到的规模在高峰期可以达到近50万级别的感染用户。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h2 id="">参考资料：</h2>
<ol>
<li><a href="https://www.virustotal.com/gui/file/ab510019639f67d5dd13a95d406299c9006dccab6182a5d80aeb5de04d236b12/content/strings">https://www.virustotal.com/gui/file/ab510019639f67d5dd13a95d406299c9006dccab6182a5d80aeb5de04d236b12/content/strings</a></li>
<li><a href="https://bazaar.abuse.ch/sample/1ef855f52b63ceffa3fd30b6bc04bc3a2ffb64a6926d4bca436c0be6456cfd84/#yara">https://bazaar.abuse.ch/sample/1ef855f52b63ceffa3fd30b6bc04bc3a2ffb64a6926d4bca436c0be6456cfd84/#yara</a></li>
<li><a href="https://bazaar.abuse.ch/sample/95b8c1f748ebef3dcbad0fa3148d46d483d00620c3e56153e41fde8978daece9/">https://bazaar.abuse.ch/sample/95b8c1f748ebef3dcbad0fa3148d46d483d00620c3e56153e41fde8978daece9/</a></li>
</ol>
<!--kg-card-end: markdown-->
----用DNS数据发现大规模垃圾邮件的投递



从2021年开始DNSMon相继看到以slot0为第一级label的域名，形如下表。并且从3月份开始，这类域名开始出现大规模的DNS请求访问。


slot0.aberalunim.xyz
slot0.desceet.com
slot0.easketh.com
slot0.fianinc.com
slot0.gleccus.com
slot0.healforec.com
slot0.hibiscus-solution.com
slot0.mindrey.biz
slot0.rut-hagener.com
slot0.tonytonero.com
slot0.westlakeservice.net




数据之间的联系


为了更好的观察他们之间的联系，从这些域名出发，对他们映射的IP地址的网段做DNS的反向查询，再次筛选slot0开头的域名，找到其他的上百个近似域名。然后将这些域名通过图系统进行关联，可以看到这些这些域名之间几乎没有特别紧密的关联，每个域名和他的基础设施之间几乎都是单线联系。如下图所示：




不过尽管IP，注册人以及其他的节点缺乏关联，但是我们很快发现：


 1. 这些域名有着近乎相同的子域名，包括dkim._domainkey. 和 _dmarc 。而DKIM和DMARC都是防垃圾邮件的机制。一般情况下都有相应的DNS TXT记录会保存相应域名的DKIM和DMARC信息。





 2. 他们使用的IP尽管并不相同，但是网段却非常接近。从这一点来看，他们该业务租用的机房是比较一致的。






投递垃圾邮件？


从子域名的特征上，我们推断这组域名是和发送电子邮件相关的。

通过进一步对图系统的扩展，我们找到了相应的邮件样本，邮件样本表明这些域名是投递垃圾邮件，并在附件中传播formbook，AgentTesla等恶意程序，由此判断他们是一组传播恶意程序的垃圾邮件僵尸网络。





在证书上的关联


在这些域名的注册邮箱中，有一个邮箱为 obipeter8@gmail.com ，通过DNSMon的证书库查询可以看到很多证书相关联的域名的子域名同样包含slot0，dmarc和dkim子域名，由此几乎可以确定这一组证书都是用来为投递垃圾邮件做的准备。


NOTE：这部分数据待补充，完善了证书库的索引之后可以添加相应内容。



数据规模


DNSMon看到的规模在高峰期可以达到近50万级别的感染用户。



参考资料：


 1. https://www.virustotal.com/gui/file/ab510019639f67d5dd13a95d406299c9006dccab6182a5d80aeb5de04d236b12/content/strings
 2. https://bazaar.abuse.ch/sample/1ef855f52b63ceffa3fd30b6bc04bc3a2ffb64a6926d4bca436c0be6456cfd84/#yara
 3. https://bazaar.abuse.ch/sample/95b8c1f748ebef3dcbad0fa3148d46d483d00620c3e56153e41fde8978daece9/

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"从2021年开始DNSMon相继看到以slot0为第一级label的域名，形如下表。并且从3月份开始，这类域名开始出现大规模的DNS请求访问。\n```\nslot0.aberalunim.xyz\nslot0.desceet.com\nslot0.easketh.com\nslot0.fianinc.com\nslot0.gleccus.com\nslot0.healforec.com\nslot0.hibiscus-solution.com\nslot0.mindrey.biz\nslot0.rut-hagener.com\nslot0.tonytonero.com\nslot0.westlakeservice.net\n```\n\n## 数据之间的联系\n为了更好的观察他们之间的联系，从这些域名出发，对他们映射的IP地址的网段做DNS的反向查询，再次筛选slot0开头的域名，找到其他的上百个近似域名。然后将这些域名通过图系统进行关联，可以看到这些这些域名之间几乎没有特别紧密的关联，每个域名和他的基础设施之间几乎都是单线联系。如下图所示：\n![graph_no_connects](__GHOST_URL__/content/images/2021/03/graph_no_connects.png)\n\n不过尽管IP，注册人以及其他的节点缺乏关联，但是我们很快发现：\n\n1. 这些域名有着近乎相同的子域名，包括dkim.\\_domainkey. 和 \\_dmarc 。而DKIM和DMARC都是防垃圾邮件的机制。一般情况下都有相应的DNS TXT记录会保存相应域名的DKIM和DMARC信息。\n\n![dmarc](__GHOST_URL__/content/images/2021/03/dmarc.png)![dkim](__GHOST_URL__/content/images/2021/03/dkim.png)\n\n2. 他们使用的IP尽管并不相同，但是网段却非常接近。从这一点来看，他们该业务租用的机房是比较一致的。\n\n![IP](__GHOST_URL__/content/images/2021/03/IP.png)"}],["markdown",{"markdown":"## 投递垃圾邮件？\n从子域名的特征上，我们推断这组域名是和发送电子邮件相关的。\n通过进一步对图系统的扩展，我们找到了相应的邮件样本，邮件样本表明这些域名是投递垃圾邮件，并在附件中传播formbook，AgentTesla等恶意程序，由此判断他们是一组传播恶意程序的垃圾邮件僵尸网络。\n![abuse.ch](__GHOST_URL__/content/images/2021/03/abuse.ch.png)\n\n## 在证书上的关联\n在这些域名的注册邮箱中，有一个邮箱为 ```obipeter8@gmail.com``` ，通过DNSMon的证书库查询可以看到很多证书相关联的域名的子域名同样包含slot0，dmarc和dkim子域名，由此几乎可以确定这一组证书都是用来为投递垃圾邮件做的准备。\n\nNOTE：这部分数据待补充，完善了证书库的索引之后可以添加相应内容。\n\n## 数据规模\nDNSMon看到的规模在高峰期可以达到近50万级别的感染用户。"}],["markdown",{"markdown":"## 参考资料：\n1. https://www.virustotal.com/gui/file/ab510019639f67d5dd13a95d406299c9006dccab6182a5d80aeb5de04d236b12/content/strings\n2. https://bazaar.abuse.ch/sample/1ef855f52b63ceffa3fd30b6bc04bc3a2ffb64a6926d4bca436c0be6456cfd84/#yara\n3. https://bazaar.abuse.ch/sample/95b8c1f748ebef3dcbad0fa3148d46d483d00620c3e56153e41fde8978daece9/"}]],"markups":[],"sections":[[1,"p",[[0,[],0,"----用DNS数据发现大规模垃圾邮件的投递"]]],[1,"p",[]],[10,0],[10,1],[10,2],[1,"p",[]]],"ghostVersion":"3.0"}