Detour Dog: la campaña que aprovecha registros DNS para distribuir malware
Infoblox Threat Intel identificó al agente malicioso “Detour Dog”, que utiliza los registros DNS para desplegar campañas de malware. Más de 30,000 sitios web han sido comprometidos mediante esta técnica, que permite ejecutar código de manera encubierta desde el servidor y dificulta su detección. El informe advierte que este tipo de amenazas refuerza la importancia del DNS como pieza central en la ciberseguridad, al ser capaz de interceptar ataques que las defensas tradicionales no logran identificar.
Cómo opera Detour Dog
El malware ha pasado de redirigir usuarios con fines fraudulentos a distribuir programas diseñados para el robo de información. Opera en modo sigiloso, retransmitiendo datos sin que los usuarios lo perciban, y hace uso de registros TXT de DNS para ejecutar acciones de comando y control (C2). Esta técnica permite a los sitios web infectados ejecutar scripts maliciosos y ocultar los servidores que se encuentran detrás de ellos. El volumen de actividad alcanza picos de más de dos millones de consultas DNS en una hora.
Hallazgos clave de la investigación
–Más de 30,000 sitios web están infectados con Detour Dog, que redirige de forma selectiva a usuarios o ejecuta código remoto.
–La infraestructura ha evolucionado de campañas de estafas a la distribución de StarFish, una puerta trasera que instala el malware Strela Stealer.
–El uso de registros TXT de DNS permite ejecutar scripts maliciosos y ocultar servidores comprometidos.
–Los sitios web pueden permanecer infectados por más de un año debido a que solo ciertos usuarios son atacados.
–El 90% de las consultas DNS de sitios infectados no muestran actividad, lo que dificulta la detección; solo un 10% activa acciones maliciosas.
–Entre junio y julio de 2025, Strela Stealer se distribuyó a través de botnets como REM Proxy y Tofsee.
–Más del 69% de los dominios relacionados con las campañas están controlados por Detour Dog y funcionan como DNS relay.
El rol del DNS en la defensa digital
El informe advierte que el abuso de DNS convierte el tráfico web cotidiano en un riesgo para las organizaciones. Las herramientas tradicionales de seguridad en el endpoint pueden pasar por alto esta actividad, por lo que la defensa debe enfocarse en la capa de DNS y la red. Según Infoblox, el DNS no solo sirve para rastrear amenazas, sino que también constituye una primera línea de defensa capaz de interceptar ataques antes de que afecten a los usuarios. La eficacia de esta estrategia depende de la calidad de la inteligencia de amenazas utilizada, ya que los atacantes perfeccionan de manera constante sus técnicas, concluyó el informe.
Puede consultar el informe completo aquí:
WhatsApp eSemanal 55 7360 5651
También te puede interesar:
A medida que la ciberdelincuencia con GenAI despega, la inteligencia de amenazas debe modernizarse
La ciberseguridad como pilar estratégico en la era digital
Soluciones para DDoS
México registra 237 mil ataques de ransomware
