搜索

[531] 2017-07-21_域名前置(DomainFronting)

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-07-21_域名前置(DomainFronting) 域 名 前 置 ( D o m a i n   F r o n t i n g ) { X H J ,   A n i c e } @   A r k T e a m   2 0 1 7 - 0 7 - 2 1 1   前 言 概 述 域 名 前 置 （ D o m a i n   F r o n t i n g ） 的 设 计 初 衷 是 逃 避 网 络 审 查 ， 但 因 其 良 好 的 网 络 穿 透 性 ， 很 适 合 应 用 于 A P T / M a l w a r e 远 控 之 中 。 本 文 用 M 代 表 普 通 的 M a l w a r e ， D F M 代 表 支 持 D o m a i n   F r o n t i n g 的 M a l w a r e ， c c . c o m 代 表 由 攻 击 者 控 制 的 C & C 服 务 器 域 名 ， S 代 表 部 署 在 网 络 边 界 的 内 容 审 查 系 统 / 异 常 检 测 系 统 等 安 全 设 备 。 2   恶 意 代 码 远 控 模 型 图 1 . 1   M 运 行 流 程 （ 1 ） M 运 行 时 会 直 接 联 系 硬 编 码 的 C & C 服 务 器 （ c c . c o m ） 。 一 般 情 况 下 ， c c . c o m 是 一 个 十 分 生 僻 的 域 名 （ 多 数 知 名 A P T 事 实 上 都 在 访 问 生 僻 域 名 ） ， 此 时 ， 部 署 在 网 络 边 界 的 S 可 能 会 发 现 该 异 常 流 量 进 而 进 行 预 警 或 阻 断 。 而 且 ， 随 着 S 智 能 化 程 度 的 提 高 ， 检 出 能 力 也 与 日 俱 增 。 一 旦 c c . c o m 被 阻 断 ， M 便 会 失 控 。 即 便 M 支 持 D o m a i n   f l u x （ A r k N a m e 即 将 推 出 ） ， 可 生 成 c c 2 . c o m 、 c c 3 . c o m ， 面 临 的 命 运 也 并 无 两 样 。 图 1 . 2   M 运 行 流 程 （ 2 ） 为 绕 过 S 的 限 制 ， 攻 击 者 可 通 过 白 名 单 服 务 （ 如 G o o g l e   A p p   E n g i n e 、 A m a z o n ） 来 转 发 客 户 端 M 和 C & C 服 务 器 之 间 的 流 量 。 以 G o o g l e   A p p   E n g i n e 为 例 ， 攻 击 者 需 配 置 生 成 一 个 以 a p p s p o t . c o m 结 尾 的 子 域 名 （ 如 t e s t . a p p s p o t . c o m ） ， 再 部 署 一 个 W e b 程 序 用 于 转 发 流 量 ， 该 W e b 程 序 会 硬 编 码 “ c c . c o m ” 字 符 串 。 这 样 ， 所 有 发 往 t e s t . a p p s p o t . c o m 的 流 量 都 会 被 W e b 程 序 转 发 给 c c . c o m 。 因 此 ， 对 于 客 户 端 M 来 说 ， 可 通 过 t e s t . a p p s p o t . c o m 与 c c . c o m 取 得 联 系 。 然 而 ， 当 S 发 现 t e s t . a p p s p o t . c o m 存 在 恶 意 行 为 时 ， 依 然 可 将 其 添 加 到 黑 名 单 之 中 ， 问 题 并 未 得 到 有 效 解 决 。 3   支 持 D o m a i n   F r o n t i n g 的 恶 意 代 码 远 控 模 型
图 2   D F M 的 运 行 流 程 对 于 D F M 而 言 ， 当 其 开 始 运 行 时 ， 会 直 接 与 支 持 D o m a i n   F r o n t i n g 的 服 务 联 系 。 以 G o o g l e 为 例 ， 其 支 持 D o m a i n   F r o n t i n g 的 服 务 有 w w w . g o o g l e . c o m 、 g m a i l . g o o g l e . c o m 、 m a p s . g o o g l e . c o m 、 y o u t u b e . c o m 、 s s l . g o o g l e - a n a l y t i c s . c o m 等 。 D F M 运 行 时 直 接 联 系 h t t p s : / / w w w . g o o g l e . c o m ， 并 将 H o s t 字 段 设 置 为 t e s t . a p p s p o t . c o m 。 因 为 流 量 经 过 T L S 加 密 ， S 无 法 看 到 H o s t 明 文 。 w w w . g o o g l e . c o m 将 收 到 的 流 量 解 密 、 转 发 给 t e s t . a p p s p o t . c o m ， 最 终 该 流 量 会 被 转 发 到 c c . c o m 。 在 整 个 远 控 过 程 中 ， 只 有 G o o g l e 知 道 c c . c o m 的 存 在 ， 对 M 样 本 的 逆 向 分 析 只 能 看 到 t e s t . a p p s p o t . c o m 。 对 防 御 人 员 而 言 ， 即 便 知 道 G o o g l e 有 可 能 承 载 、 转 发 恶 意 流 量 ， 但 也 不 能 轻 易 封 锁 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理