Malware APT y dominios que resuelven a localhost, quizás el título sea un poco atrevido, pero espero que después de la lectura entendáis por qué he puesto este título. Hace días publicaba por aquí el tema del passive DNS. He seguido analizando malware y registrando que dominios resuelven a que IP por lo que la base de datos ha ido creciendo y he visto algo interesante que quería compartir.
Tabla de Contenido
El proyecto del passive DNS tiene un index.php desde el que podremos consultar los dominios que se han resuelto y cuantas veces se han resuelto estos dominios.
Malware APT y dominios que resuelven a localhost, ejemplo de búsqueda de dominios
Podemos ver ejemplos de búsquedas de dominios relacionados con Microsoft.
O por ejemplo malware que hayan enviado un correo por pasarelas de correo del estilo mail.ru
Pero una de las cosas que más me ha sorprendido son aquellos dominios que resuelven a localhost.
Malware APT y dominios que resuelven a localhost, aquí tenéis un ejemplo:
Investigando porque esto era así y porque pasaba con ciertas piezas de malware al final se llega a las siguientes conclusiones
Casos de ataques
Uno de los casos plausibles es cuando los malos inician una campaña, distribuyen la muestra pero la ventana de ataque es más pequeña, por lo que cambian el registro y lo dejan a localhost.
Ataques dirigidos =! APT ?¿?¿?
Se han visto casos en los que, grupos de hacking de origen chino usan ciertos dominios a los que luego le cambian la IP.
Igual que pasa con los dominios usados en las campañas de malware que cambian el registro. Cuando van a investigar el dominio puede que resuelva a la IP original, pero cambien el dominio a localhost.
Dominios desactivados por el ISP en Malware APT y dominios que resuelven a localhost
Se da el caso de que si encuentran un dominio que esté ligado a una campaña de phishing o relacionado con una botnet, que desactiven el dominio y lo cambien a localhost.
¿Y vosotros que pensáis? ¿Por qué creéis que ocurre esto?
Actualización 2026: la resolución a localhost sigue vigente en el malware moderno
El fenómeno descrito en este artículo —dominios asociados a malware que resuelven a 127.0.0.1— sigue ocurriendo hoy, y tiene una explicación consolidada: la técnica de sinkholing. Cuando una infraestructura maliciosa es desmantelada (takedown de un ISP, de un registrador o de una operación policial), los dominios afectados se redirigen con frecuencia a 127.0.0.1 o a un servidor controlado por los defensores para neutralizar la botnet e identificar las máquinas infectadas que siguen llamando a casa. El artículo de Infosec Institute sobre sinkholes describe exactamente este mecanismo: el sinkhole responde con una dirección falsa —habitualmente 127.0.0.1— y el bot queda desconectado de su controlador.
La infraestructura DNS sigue siendo el canal preferido de los actores persistentes. MITRE ATT&CK mantiene la sub-técnica T1071.004 — Application Layer Protocol: DNS, que documenta cómo los adversarios usan el protocolo DNS (tunneling, beaconing mediante registros TXT o A) para evadir la detección mezclándose con tráfico legítimo. En su informe de amenazas de diciembre de 2025, Infoblox documentó la campaña Detour Dog, que utilizaba registros DNS TXT como canal encubierto de comando y control; cuando se intentó aplicar sinkholing a su dominio de C2 en agosto de 2025, el actor recuperó el control en cuestión de horas, lo que muestra que la lucha por el DNS sigue viva en ambas direcciones.
Además, la evasión moderna ha dado un paso más allá del DNS tradicional: Akamai documentó cómo familias como Godlua y PsiXBot abusan de DNS sobre HTTPS (DoH) para ocultar sus consultas a resolvers públicos dentro de tráfico cifrado, eludiendo el monitoreo DNS clásico. El concepto del artículo original —seguir la pista del malware a través de la resolución DNS— sigue siendo válido, pero hoy exige visibilidad sobre DNS cifrado además del DNS de texto plano.
Defensa moderna: sinkholing, monitoreo DNS y telemetría EDR
Para defender una organización frente a estas técnicas, la visibilidad DNS es una capa crítica. MITRE ATT&CK lista para T1071.004 las fuentes de datos recomendadas: registros DNS, netflow, captura de paquetes y monitoreo de procesos. Las prácticas vigentes incluyen: desplegar sinkholes internos (responder 127.0.0.1 a dominios maliciosos conocidos y alertar sobre los hosts que los consultan), mantener listas de inteligencia de amenazas en el resolver corporativo, bloquear o inspeccionar resolvers DoH externos no autorizados para conservar la visibilidad, y registrar toda la resolución DNS a nivel de endpoint mediante EDR con telemetría de red. Herramientas de filtrado DNS con inteligencia de amenazas en tiempo real —como las soluciones de DNS protectivo de Infoblox, citadas en su informe de 2025— complementan esta estrategia. El principio sigue siendo el mismo que motivó el proyecto de passive DNS de este artículo: quien ve el DNS, ve el movimiento del atacante.
¿Sospechas actividad de malware o APT en tu red?
En DragonJAR realizamos detección de APT, respuesta a incidentes y threat hunting: analizamos la telemetría DNS y de red de tu organización, identificamos infraestructura maliciosa —incluidos dominios que resuelven a localhost por sinkholing o por takedowns— y contenemos la amenaza antes de que cause daño. Contáctanos para una evaluación de seguridad.
