O que é Fast Flux?

Fast flux é uma técnica usada por cibercriminosos para ocultar infraestruturas maliciosas, alterando rapidamente os endereços IP associados a um nome de domínio. Ao alternar continuamente entre diferentes endereços IP, os atacantes podem dificultar a identificação e o bloqueio de sites maliciosos, servidores de comando e controle, páginas de phishing e outras infraestruturas.

O termo "fast flux" é comumente associado a botnets, onde um grande número de dispositivos comprometidos pode ser usado como proxies ou hosts temporários. As mudanças constantes ajudam os atacantes a manter os serviços maliciosos disponíveis mesmo quando endereços IP individuais são descobertos ou desativados.

Principais conclusões

• Fast Flux é uma técnica de ciberataque que altera rapidamente os endereços IP associados a um nome de domínio, tornando a infraestrutura maliciosa mais difícil de detectar, bloquear ou desativar.
• As redes Fast Flux frequentemente dependem de botnets e dispositivos comprometidos para rotacionar continuamente endereços IP e dar suporte a atividades maliciosas como phishing, distribuição de malware e comunicações de comando e controle.
• Fluxo simples e fluxo duplo são duas técnicas comuns de fluxo rápido. O fluxo único rotaciona endereços IP, enquanto o fluxo duplo altera tanto os endereços IP quanto os servidores de nomes DNS para tornar a infraestrutura maliciosa mais resiliente.
• A detecção e a defesa contra fluxos rápidos exigem múltiplos controles de segurança. As organizações devem combinar monitoramento de DNS, inteligência de ameaças, visibilidade da rede e contenção de violação para identificar atividades suspeitas e limitar o movimento lateral caso os sistemas sejam comprometidos.

Como funciona o Fast Flux?

Normalmente, um nome de domínio é associado a um ou a um número relativamente pequeno de endereços IP através do Sistema de Nomes de Domínio (DNS). As mudanças rápidas no fluxo alteram essa relação.

Os atacantes configuram domínios maliciosos para que seus registros DNS mudem com frequência. Um domínio pode ser resolvido para um grupo de endereços IP e, minutos depois, ser resolvido para um grupo completamente diferente.

Muitos desses endereços IP podem pertencer a dispositivos comprometidos dentro de uma botnet. Os dispositivos atuam como intermediários entre as vítimas e a infraestrutura subjacente dos atacantes.

Isso torna mais difícil para os defensores simplesmente bloquearem um endereço IP e interromperem a operação maliciosa.

O que é uma rede Fast Flux?

Uma rede de fluxo rápido é o conjunto de sistemas e infraestrutura usados para rotacionar rapidamente os endereços IP associados a um domínio malicioso.

Essas redes geralmente dependem de computadores, servidores, roteadores, dispositivos da Internet das Coisas (IoT) ou outros endpoints comprometidos e controlados por meio de uma botnet.

Como a rede pode conter muitos dispositivos diferentes distribuídos por locais geográficos e redes, os invasores podem substituir continuamente a infraestrutura que foi detectada ou bloqueada.

O que é fluxo único?

O Single Flux é uma forma de Fast Flux em que os endereços IP associados a um domínio malicioso mudam frequentemente.

Por exemplo, um domínio de phishing pode redirecionar para vários dispositivos comprometidos. Pouco tempo depois, o mesmo domínio poderia ser resolvido para um grupo completamente diferente de endereços IP.

O domínio permanece consistente, enquanto a infraestrutura subjacente está em constante mudança.

O que é fluxo duplo?

O fluxo duplo adiciona mais uma camada de complexidade.

Além de alterarem frequentemente os endereços IP associados a um domínio, os atacantes também rotacionam os servidores de nomes DNS responsáveis pela resolução desse domínio.

Isso significa que tanto os hosts maliciosos quanto a infraestrutura de DNS que os suporta podem mudar rapidamente, tornando a operação mais resiliente e mais difícil de interromper.

Por que os atacantes usam o Fast Flux?

Os atacantes usam principalmente o Fast Flux para tornar a infraestrutura maliciosa mais resiliente e difícil de bloquear.

O FastFlux pode ajudar os atacantes:

• Ocultar a localização de sua infraestrutura principal.
• Mantenha os domínios maliciosos disponíveis por mais tempo.
• Evitar bloqueios baseados em IP
• Dificultar a investigação da infraestrutura
• Apoiar campanhas de phishing e malware
• Manter comunicações de comando e controle
• Substitua rapidamente a infraestrutura comprometida.

Em vez de depender de um único servidor que os defensores possam identificar e desativar, os atacantes distribuem suas atividades por vários sistemas.

Como o Fast Flux é usado em ataques cibernéticos?

O Fast Flux pode suportar diversos tipos de atividades maliciosas.

Campanhas de phishing podem usar o FastFlux para manter páginas de login fraudulentas disponíveis mesmo quando os sistemas de hospedagem individuais estão bloqueados. Os operadores de malware podem usá-lo para manter a comunicação entre dispositivos infectados e a infraestrutura de comando e controle.

As botnets também podem usar redes de fluxo rápido para encaminhar o tráfego por meio de dispositivos comprometidos, ocultando a localização dos servidores reais do atacante.

Essa infraestrutura em constante mudança pode dificultar os esforços de detecção, investigação e desmantelamento.

Como detectar fluxos rápidos?

A atividade de fluxo rápido geralmente pode ser identificada examinando o comportamento do DNS e da rede ao longo do tempo.

Os indicadores potenciais podem incluir:

• Domínios que resolvem para um número excepcionalmente grande de endereços IP
• Os endereços IP mudam com muita frequência.
• Valores de tempo de vida (TTL) de DNS muito curtos
• Endereços IP distribuídos por diversas redes ou localizações geográficas.
• Alterações frequentes nos servidores de nomes autorizados
• Conexões com infraestrutura associada a botnets conhecidas ou atividades maliciosas.

Nenhum indicador isolado comprova necessariamente que o fluxo rápido está sendo utilizado. As equipes de segurança normalmente analisam múltiplos sinais e padrões de comportamento para distinguir atividades maliciosas de fluxo rápido da infraestrutura legítima.

O Fast Flux é sempre malicioso?

Não. Alterar rapidamente os registros DNS ou distribuir o tráfego por vários endereços IP não é automaticamente malicioso.

Serviços legítimos como redes de distribuição de conteúdo (CDNs), plataformas em nuvem e sistemas de balanceamento de carga podem usar infraestrutura dinâmica que pode apresentar algumas características de fluxo rápido.

A diferença reside principalmente na intenção e no comportamento. As equipes de segurança precisam de contexto adicional, dados de reputação, padrões de DNS e atividade de rede para determinar se a infraestrutura em rápida mudança está associada a atividades maliciosas.

Qual a diferença entre os algoritmos Fast Flux e Domain Generation?

Os algoritmos de fluxo rápido e de geração de domínio (DGAs) são técnicas que os atacantes podem usar para dificultar a interrupção de infraestruturas maliciosas, mas funcionam de maneiras diferentes.

O Fast Flux altera frequentemente os endereços IP associados a um domínio. Um DGA gera um grande número de nomes de domínio que o malware pode usar para localizar a infraestrutura de comando e controle.

Os atacantes podem usar essas técnicas separadamente ou em conjunto para criar uma infraestrutura mais resiliente à detecção e às tentativas de desmantelamento.

Como as organizações podem se proteger contra mudanças rápidas?

As organizações podem reduzir o risco associado à rápida volatilidade do tráfego combinando monitoramento de DNS, inteligência de ameaças, visibilidade da rede, análise comportamental e controles de segurança.

As equipes de segurança devem monitorar atividades incomuns de DNS e investigar conexões com infraestruturas suspeitas ou que estejam mudando rapidamente. Bloquear domínios e endereços IP maliciosos conhecidos pode ajudar, mas o Fast Flux demonstra por que confiar exclusivamente em listas de bloqueio estáticas pode não ser suficiente.

As organizações também devem partir do princípio de que algumas atividades maliciosas acabarão por contornar os controles preventivos e devem se preparar para limitar o acesso dos invasores caso um sistema seja comprometido.

Qual a relação entre o fluxo rápido e a contenção de violação?

O Fast Flux ajuda os atacantes a dificultar a identificação e a interrupção de sua infraestrutura externa. Mas, uma vez que um invasor compromete uma carga de trabalho ou um endpoint, as organizações enfrentam outro desafio: impedir que esse comprometimento se espalhe.

Caso um malware consiga se comunicar com a infraestrutura maliciosa, os controles de segmentação e contenção de violações podem ajudar a restringir a capacidade do sistema comprometido de alcançar outras cargas de trabalho e recursos críticos.

Ao limitar a conectividade desnecessária e o movimento lateral, as organizações podem reduzir o impacto potencial de um ataque bem-sucedido, mesmo quando a infraestrutura maliciosa está em constante mudança.

Impeça a propagação de ataques com Illumio.

O Fast Flux pode ajudar os atacantes a evitar a detecção e manter a infraestrutura maliciosa online. Mas quando uma ameaça atinge o seu ambiente, a prioridade passa a ser impedir que ela se espalhe.

A Illumio ajuda as organizações a conter violações de dados, limitando a conectividade desnecessária e impedindo que os invasores se movam lateralmente para sistemas e dados críticos.

Veja como o Illumio pode ajudar você a conter violações de dados e impedir movimentos laterais.

Descubra o Illumio contenção de violação →

‍

Perguntas frequentes

O que é fluxo rápido em termos simples?

Fast Flux é uma técnica que altera rapidamente os endereços IP conectados a um domínio, tornando mais difícil a identificação, o bloqueio ou a desativação de infraestruturas maliciosas.

O FastFlux está associado a botnets?

Sim. Redes Fast Flux geralmente usam um grande número de dispositivos comprometidos, controlados por botnets, para fornecer endereços IP e tráfego proxy em constante mudança.

Qual a diferença entre fluxo simples e fluxo duplo?

Um único fluxo altera frequentemente os endereços IP associados a um domínio. O Double Flux altera tanto os endereços IP quanto os servidores de nomes DNS associados à infraestrutura maliciosa.

Por que é difícil bloquear o fluxo rápido?

A infraestrutura de fluxo rápido pode mudar rapidamente. Bloquear um endereço IP malicioso pode ter um impacto limitado, pois o domínio pode começar a direcionar o tráfego por meio de outros sistemas comprometidos.

Serviços legítimos podem se parecer com Fast Flux?

Sim. As CDNs, os serviços em nuvem e outras infraestruturas distribuídas podem apresentar comportamento semelhante em relação ao DNS. As equipes de segurança precisam de contexto adicional para determinar se a atividade é maliciosa.

‍