Unit 42: malware kết nối C2 trực tiếp tới IP, bỏ qua DNS

Unit 42 nói đã phân tích hơn 4 triệu dynamic-analysis report trong 30 ngày. Sau bước lọc do nhóm mô tả, 20,11% malware sample có C2; trong nhóm có C2, 45,32% tạo ít nhất một direct-to-IP connection. Tính trên toàn bộ C2 connection attempt, direct-to-IP chiếm 23,17% theo công bố.

Nhóm gọi hướng tiếp cận kiểm tra destination IP có từng được DNS response “sanction” hay không là zero trust IP (ZT-IP), đồng thời trình bày các case ransomware dropper, exfiltration và IoT/P2P. Đây là thuật ngữ/đề xuất của Unit 42, không phải tiêu chuẩn chung.

DNS filter, sinkhole và protective DNS chỉ thấy traffic đi qua DNS path. Malware dùng IP hard-coded, cache riêng, P2P hoặc direct socket có thể bỏ qua lớp này. Điều đó không làm DNS security vô dụng; nó chỉ chỉ ra nhu cầu correlation với flow, firewall và endpoint telemetry.

Áp policy “chỉ cho IP đã xuất hiện trong DNS” cũng không đơn giản: CDN, anycast, literal-IP service, long-lived connection, proxy, service discovery và IP hợp lệ dùng chung có thể tạo false positive. Cần baseline theo application và environment.

Đội phòng thủ nên kiểm tra coverage bằng một lab endpoint gọi domain hợp lệ, IP trực tiếp hợp lệ trong scope và IP test sink do tổ chức kiểm soát. Không kết nối IOC thật hoặc C2 thật. Thu DNS log, flow/firewall, EDR process tree và packet metadata để xác định lớp nào phát hiện được.

KPI gồm tỷ lệ direct-IP được phát hiện, detection latency, false positive, false negative trên tập lab, log completeness và khả năng nối network session với process/user/device.

• Kịch bản: Domain bình thường · Điều cần kiểm chứng: DNS và flow correlation · Bằng chứng: query/response + session
• Kịch bản: Direct IP test · Điều cần kiểm chứng: Không DNS nhưng flow/EDR thấy · Bằng chứng: process + destination
• Kịch bản: CDN/shared IP · Điều cần kiểm chứng: Không chặn sai ứng dụng · Bằng chứng: app/SNI/proxy context
• Kịch bản: DNS cache/long session · Điều cần kiểm chứng: Cửa sổ correlation hợp lý · Bằng chứng: TTL + session timeline
• Kịch bản: Proxy egress · Điều cần kiểm chứng: IP đích nhìn ở đâu · Bằng chứng: endpoint/proxy/firewall
• Kịch bản: Sensor outage · Điều cần kiểm chứng: Coverage suy giảm có cảnh báo · Bằng chứng: health + test transaction

SOC, network security, endpoint, DNS, proxy/SASE và threat hunting đều cần quan tâm. Tổ chức dựa nhiều vào protective DNS nhưng thiếu flow/EDR correlation nên đánh giá coverage trước.

OT/IoT cũng đáng chú ý vì thiết bị có thể dùng IP hard-coded hợp lệ. Không áp chặn đại trà trước khi lập inventory; outage do policy sai có thể ảnh hưởng vận hành vật lý.

Tỷ lệ từ sandbox/dynamic analysis không đại diện trực tiếp cho prevalence trên mọi mạng production. Kết quả phụ thuộc mẫu, thời gian, tiêu chí lọc, môi trường sandbox và cách định nghĩa C2. Không thể dùng tỷ lệ 45,32% để dự báo chính xác một doanh nghiệp.

Một direct-to-IP connection không tự động là malware; nhiều ứng dụng hợp lệ dùng literal IP. Ngược lại, có DNS query không chứng minh destination an toàn. Quyết định cần context, reputation, process và policy.

• Kiểm kê DNS, firewall/flow, proxy và EDR coverage.
• Baseline ứng dụng hợp lệ dùng literal IP.
• Tạo direct-IP test chỉ tới sink do tổ chức kiểm soát.
• Đo detection latency và correlation process–flow.
• Kiểm CDN, anycast, proxy và long-lived session.
• Tách alert-only, block có ngoại lệ và block mặc định.
• Bảo vệ OT/IoT bằng inventory trước enforcement.
• Kiểm sensor outage và log backlog recovery.
• Không truy cập IP/IOC C2 thật trong test.
• Theo dõi revision/phương pháp nghiên cứu Unit 42.

• *C2: Command and control giữa malware và hạ tầng điều khiển.
• *Direct-to-IP: Kết nối tới IP không có DNS query tương ứng trong scope.
• *Protective DNS: DNS có chính sách phát hiện/chặn domain rủi ro.
• *Egress control: Kiểm soát kết nối đi ra ngoài.
• *Flow telemetry: Metadata phiên mạng như nguồn, đích, port và thời gian.
• *Correlation window: Cửa sổ thời gian nối DNS response với network flow.