Pesquisadores de cibersegurança da Infoblox Threat Intelligence descobriram uma campanha de phishing sofisticada que explora a infraestrutura fundamental da internet para contornar controles de segurança corporativos. A tática de evasão inédita envolve a utilização do domínio de topo (TLD) .arpa, reservado para infraestrutura interna da rede, e túneis IPv6 para hospedar conteúdo malicioso, criando um desafio emergente para sistemas de defesa.
O que é o domínio .arpa e como ele está sendo abusado
Diferente de TLDs convencionais como .com ou .net, o domínio .arpa é exclusivamente reservado para infraestrutura interna da internet, sendo sua função primária o mapeamento DNS reverso (tradução de endereços IP para nomes de domínio). Ele nunca foi projetado para hospedar sites ou conteúdo web públicos. No entanto, os atacantes descobriram falhas críticas nos sistemas de gerenciamento de registros DNS de alguns provedores.
Ao aproveitar serviços gratuitos de túnel IPv6, os agentes de ameaça ganham controle administrativo sobre blocos específicos de endereços IPv6. Em vez de criar os registros de ponteiro (PTR) de DNS reverso esperados, eles geram registros A padrão para esses subdomínios .arpa. Isso cria nomes de domínio totalmente qualificados disfarçados como endereços de infraestrutura central, que as ferramentas de segurança inerentemente confiam e raramente inspecionam.
A cadeia de ataque e o sequestro de CNAMEs
De acordo com a Infoblox, a sequência de ataque geralmente começa com e-mails de spam malicioso que se passam por grandes marcas de consumo. Esses e-mails contêm uma única imagem com hiperlink que promete um prêmio gratuito ou alega falsamente que uma assinatura foi interrompida. Quando a vítima clica na imagem, é redirecionada por um complexo Sistema de Distribuição de Tráfego (TDS). O TDS identifica o tráfego do usuário, visando especificamente dispositivos móveis operando em endereços IP residenciais antes de entregar a carga maliciosa final.
Além do abuso do .arpa, esta campanha depende fortemente do sequestro de CNAMEs pendentes (dangling CNAME hijacking). Os agentes de ameaça comprometeram subdomínios abandonados pertencentes a governos, organizações de mídia e universidades de boa reputação. Ao registrar os domínios expirados para os quais esses CNAMEs abandonados ainda apontam, os atacantes sequestram de forma transparente a reputação digital de entidades altamente confiáveis para mascarar seu tráfego malicioso.
Impacto e alcance da nova técnica
A doutora Renée Burton, vice-presidente da Infoblox Threat Intel, observou que a transformação do namespace .arpa em uma arma efetivamente transforma o núcleo da internet em um mecanismo de entrega de phishing. Como os domínios de DNS reverso possuem uma reputação implicitamente limpa e carecem de dados de registro tradicionais, as ferramentas de segurança padrão que dependem da estrutura de URL e listas de bloqueio falham em detectá-los.
Esta campanha representa uma evolução significativa nas táticas de evasão, pois ataca a própria confiança embutida nos sistemas de resolução de nomes da internet. Organizações que dependem apenas de verificações de reputação de domínio baseadas em TLDs comuns estão particularmente vulneráveis.
Indicadores de Comprometimento (IOCs) e recomendações
A campanha utiliza uma combinação de domínios .arpa maliciosos com subdomínios gerados por algoritmo (DGA) e domínios de phishing convencionais. Alguns exemplos de IOCs incluem padrões como <10 letras aleatórias>.5.2.1.6.3.0.0.0.7.4.0.1.0.0.2[.]ip6[.]arpa e domínios como actinismoleil[.]sbs e cablecomparison[.]shop.
Para se defender, as organizações devem começar a tratar a infraestrutura central de DNS como uma superfície de ataque em potencial. É recomendado implementar filtragem especializada para monitorar adições incomuns de registros no namespace .arpa, revisar políticas de segurança de e-mail para inspecionar links que apontam para domínios de infraestrutura e considerar soluções de segurança de DNS que analisem o comportamento de resolução, não apenas a reputação do domínio.
A Infoblox alerta que, sem uma mudança na postura de segurança, essa técnica pode se tornar mais prevalente, forçando uma reavaliação de como a comunidade de segurança monitora e protege os blocos de endereços de infraestrutura da internet.