Ciberseguridad
DNS Fast Flux
Ataques
Aquí se mueve la infraestructura detrás del nombre. No mezclar el cambio de IP con la generación de dominios: parecen primos del mismo aquelarre, pero hacen trabajos distintos. (¬ᴗ¬)
Fast Flux permite cambiar rápidamente las direcciones IP asociadas a un nombre de dominio. En infraestructura maliciosa puede dificultar el seguimiento y bloqueo del servicio: el nombre sigue siendo conocido, pero las máquinas que aparecen detrás van cambiando. Suele apoyarse en respuestas DNS con varias direcciones y TTL cortos. MITRE ATT&CK: T1568.001.
Mismo nombre, distintas respuestas
Ejemplo inventado: un dominio devuelve varias IP y, poco después, otra consulta muestra un conjunto diferente. Si bloqueamos una dirección observada, eso no cubre automáticamente las que aparezcan más tarde.
Se suele distinguir entre:
- Single flux: cambian las direcciones de los equipos que atienden el servicio.
- Double flux: también cambia la infraestructura de servidores DNS autoritativos involucrada.
Ahora... una respuesta que cambia o un TTL bajo no bastan para confirmar una red maliciosa. Esa sería una conclusión demasiado grande para tan pocos datos.
Qué conviene contrastar
Como guía de investigación, reuniría observaciones de distintos momentos y las cruzaría con el contexto: qué servicio se espera, qué equipos lo consultan y qué conexiones realizan después. También registraría el intervalo observado; una consulta aislada no describe la rotación.
La diferencia con DGA es importante: DGA genera nombres candidatos; Fast Flux cambia las IP asociadas a un nombre. No son sinónimos ni necesitan aparecer juntos.
También ayuda separar el mecanismo del TLD utilizado. Vuelve a la Pirámide del dolor para ubicar estos indicadores en su contexto.
+----------------------------------------+
| Floure & |
| Tachibana's guild |
| [Hikari · Nozomi] |
| SEAL: sha256/12: 53c1aba12bf8 |
| STATUS: LITURGY_IN_PROGRESS |
+----------------------------------------+