Aperçu

Glimpse est un outil de piratage récemment découvert et considéré comme la création du groupe OilRig. Ce groupe de piratage est également connu sous le nom de APT34 (Advanced Persistent Threat) et provient d’Iran. Les chercheurs en logiciels malveillants connaissent le groupe de piratage OilRig depuis un certain temps, et ils sont connus pour être hautement qualifiés et très menaçants. Le malware Glimpse est construit de manière très intéressante. La menace Glimpse utilise le protocole DNS au lieu d'utiliser les connexions FTP ou HTTP habituelles et plutôt bruyantes. Cependant, malgré le fait que cela réduise considérablement le bruit généré par le fonctionnement préjudiciable, il présente également des inconvénients importants. L'utilisation du protocole DNS entrave considérablement les capacités de la menace Glimpse. La raison en est que cette méthode ne prend en charge que certains caractères et ne contient qu'une quantité limitée de données pouvant être transférées, ce qui handicape le programme malveillant.

Les quatre types d'enregistrement principaux

Il existe quatre enregistrements principaux, qui sont pris en charge par le protocole DNS:

• Enregistrements CNAME (Nom canonique) - Ils connectent un certain nom d’hôte au domaine ou au sous-domaine.
• Enregistrements TXT - Servent à stocker différents textes, généralement liés à des informations de domaine telles que l'adresse, le nom, le contact, etc., ou à des données concernant la vérification (telles que les données Sender Policy Framework).
• A Records - Le type d'enregistrement de base, qui sert à connecter une adresse IP spécifique à un domaine ou à un sous-domaine.
• Enregistrements MX (échange de courrier électronique) - remplissent le même objectif que les enregistrements A, mais possèdent une fonctionnalité de «priorité» qui détermine un serveur de messagerie secondaire au cas où le serveur principal ne fonctionnerait pas.

Des chercheurs en cybersécurité ont déterminé que le groupe de piratage OilRig avait jusqu'à présent utilisé les types de type TXT et A dans leur campagne de menaces, les enregistrements A constituant une technique prioritaire. Le groupe OilRig a créé sur mesure les requêtes DNS des enregistrements TXT, mais utilise également des requêtes DNS prédéfinies pour les enregistrements A.

Construire une menace qui utilise le protocole DNS n’est certainement pas une tâche facile, car les escrocs doivent faire preuve de beaucoup de créativité et d’inventivité pour créer une menace fonctionnelle et préjudiciable, malgré ses capacités limitées. Le groupe OilRig n’a pas révélé l’utilisation du logiciel malveillant Glimpse, mais vous pouvez être assuré que nous continuerons d’entendre parler de ces campagnes menaçantes à l’avenir.