Съвременните зловредни кампании все по-често използват динамична инфраструктура, която позволява на нападателите да сменят домейни, сървъри и ресурси за разпространение на зловреден код, без да прекъсват атаката. Това прави защитата, основана единствено на блокиране на известни IP адреси и домейни, недостатъчна.

WatchGuard Threat Lab разглежда кампанията ErrTraffic като пример за тази еволюция. Тя комбинира техниките ClickFix и EtherHiding, за да подведе потребителите сами да задействат заразяването, като същевременно позволява на нападателите да променят инфраструктурата, от която се разпространява зловредният код.

Атаката започва от компрометирани уебсайтове, на които се показват фалшиви съобщения за технически проблем. Потребителят е подканен да копира и изпълни команда в PowerShell, представена като решение на проблема. Така вместо да разчита единствено на автоматично изтегляне на зловреден файл, кампанията използва социално инженерство, за да накара жертвата сама да изпълни опасната команда.

Допълнителна устойчивост осигурява EtherHiding – техника, при която информация за актуалното местоположение на инфраструктурата се извлича от данни, съхранявани в смарт договор върху публична блокчейн мрежа. Това позволява на нападателите да сменят използваните сървъри, без да променят съществено останалата част от атакуващата верига.

Блокирането на един домейн или IP адрес вече не означава непременно прекратяване на кампанията. Ако механизмът за откриване на следващия ресурс остане активен, зловредният софтуер може да продължи комуникацията си чрез нова инфраструктура.

Затова WatchGuard акцентира върху комбинирането на мрежова и крайна защита. Мрежовият слой може да блокира злонамерени сайтове и DNS заявки, да анализира репутацията на ресурсите, да инспектира трафика и да проверява подозрителни файлове чрез sandbox анализ. Крайната защита допълва този контрол с поведенческо наблюдение, което може да открива изпълнение на неоторизирани команди, подозрителни процеси, опити за изтегляне на допълнителен зловреден код и дейности, характерни за атаки без файлове.

При установяване на компрометирано устройство решенията за крайна защита могат да осигурят изолиране на системата и анализ на първопричината за инцидента.

За доставчиците на управлявани услуги (MSP) този подход има и пряко бизнес измерение. Вместо да реагират последователно на всеки нов домейн или IP адрес, те могат да изградят многостепенна защита, която прекъсва атаката на различни етапи – от първоначалния достъп до изпълнението на зловредния код.

За организациите това означава по-малка зависимост от списъци с известни заплахи и по-добра устойчивост срещу кампании, които непрекъснато променят инфраструктурата си.

АНТИВИРУС БГ предлага решения и консултации за изграждане на многостепенна защита с WatchGuard, съчетаваща мрежова сигурност и защита на крайните устройства. Целта е не просто блокиране на известни злонамерени ресурси, а откриване и прекъсване на атакуващата верига, дори когато нападателите променят използваната инфраструктура.