搜索

[483] 2016-08-19_漫谈DomainFlux

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2016-08-19_漫谈DomainFlux 漫 谈 D o m a i n   F l u x S h a d o w _ K K   A r k T e a m   2 0 1 6 - 0 8 - 1 9 概 述 概 述                 D o m a i n   G e n e r a t i o n   A l g o r i t h m ( D G A ) 是 一 项 古 老 但 一 直 活 跃 的 技 术 ， 是 中 心 结 构 僵 尸 网 络 赖 以 生 存 的 关 键 武 器 ， 该 是 一 项 古 老 但 一 直 活 跃 的 技 术 ， 是 中 心 结 构 僵 尸 网 络 赖 以 生 存 的 关 键 武 器 ， 该 技 术 给 打 击 和 关 闭 该 类 型 僵 尸 网 络 造 成 了 不 小 的 麻 烦 ， 研 究 人 员 需 要 快 速 掌 握 域 名 生 成 算 法 和 输 入 ， 对 生 成 的 域 名 技 术 给 打 击 和 关 闭 该 类 型 僵 尸 网 络 造 成 了 不 小 的 麻 烦 ， 研 究 人 员 需 要 快 速 掌 握 域 名 生 成 算 法 和 输 入 ， 对 生 成 的 域 名 及 时 进 行 及 时 进 行 s i n k h o l e 。 。 背 景 背 景                 僵 尸 网 络 指 攻 击 者 （ B o t m a s t e r ） 出 于 恶 意 目 的 ， 通 过 命 令 控 制 信 道 （ C & C   C h a n n e l ） 操 控 一 群 受 害 主 机 （ B o t s ） 所 形 成 的 攻 击 平 台 。 通 过 该 平 台 ， 攻 击 者 可 以 发 起 多 种 常 见 攻 击 ， 包 括 D D o S 、 垃 圾 邮 件 、 钓 鱼 攻 击 、 点 击 欺 诈 、 在 线 身 份 窃 取 、 比 特 币 挖 掘 / 窃 取 、 加 密 勒 索 等 。 　 　 同 传 统 恶 意 代 码 形 态 相 比 ， 僵 尸 网 络 的 攻 击 实 现 依 赖 攻 击 者 和 受 害 主 机 之 间 的 信 息 交 互 ， 即 攻 击 者 需 要 告 知 僵 尸 主 机 命 令 ， 僵 尸 主 机 才 可 发 起 相 应 的 攻 击 ， 命 令 的 下 发 通 过 命 令 控 制 信 道 实 现 ， 这 是 僵 尸 网 络 构 建 的 核 心 ， 也 是 攻 防 双 方 博 弈 的 关 键 点 。 　 　 在 早 期 中 心 结 构 的 僵 尸 网 络 中 ， 僵 尸 主 机 通 常 采 用 轮 询 的 方 法 访 问 硬 编 码 的 C & C   域 名 或   I P 来 访 问 命 令 控 制 服 务 器 ， 获 取 攻 击 者 命 令 ， 由 于 硬 编 码 的 域 名 或 I P 固 定 且 数 量 有 限 ， 防 御 人 员 通 过 逆 向 掌 握 该 部 分 内 容 后 可 对 该 域 名 进 行 有 效 的 屏 蔽 ， 阻 断 其 命 令 控 制 途 径 ， 使 其 失 去 控 制 源 并 逐 渐 消 亡 。 该 种 缺 陷 称 之 为 中 心 节 点 失 效 （ s i n g l e - p o i n t - o f - f a i l u r e ） 。 基 本 概 念 基 本 概 念 　 　 　 　 为 了 解 决 上 述 问 题 ， 攻 击 者 使 用 D o m a i n   F l u x 协 议 来 对 抗 防 御 人 员 的 关 闭 ， 僵 尸 主 机 访 问 的 C & C 域 名 不 再 是 静 态 硬 编 码 ， 而 是 根 据 一 定 算 法 动 态 生 成 的 、 变 化 的 域 名 ， 攻 击 者 和 肉 鸡 通 信 的 集 合 点 （ r e n d e z v o u s   p o i n t s ） 动 态 变 化 ， 防 御 人 员 难 以 关 闭 ， 该 域 名 生 成 算 法 称 之 为 D G A （ D o m a i n   G e n e r a t i o n   A l g o r i t h m ） ， 算 法 的 输 入 称 为 S e e d s ， 涵 盖 日 期 、 社 交 网 络 搜 索 热 词 、 随 机 数 或 字 典 ， 如 图 1 所 示 ， 生 成 的 一 串 特 殊 字 符 前 缀 （ 比 如 k v b t l t j w o x f 5 2 b 6 8 n s l u l z g v e v h 4 4 b v a t e y ） 添 加 T L D 后 得 到 最 终 域 名 资 源 ， 该 域 名 称 为 A G D （ A l g o r i t h m i c a l l y - G e n e r a t e d   D o m a i n ） ， 攻 击 者 只 需 成 功 注 册 并 让 肉 鸡 访 问 到 一 个 A G D 即 可 实 现 僵 尸 网 络 的 控 制 ， 而 防 御 人 员 为 了 彻 底 关 闭 该 僵 尸 网 络 ， 需 要 屏 蔽 所 有 的 A G D ， 成 本 极 大 ， 因 此 ， D o m a i n   F l u x 被 认 为 是 一 种 非 常 健 壮 的 命 令 控 制 协 议 。 图 1   D G A 实 现 示 意 图 发 展 历 史 发 展 历 史 　 　 　 　 早 期 D o m a i n   F l u x 僵 尸 网 络 为 2 0 0 7 年 出 现 的 T o r p i g 和 K a r k e n ， 前 者 以 T w i t t e r 热 点 话 题 为 s e e d ， 后 者 则 以 当 前 日 期 为 输 入 。 最 经 典 的 案 例 为 2 0 0 8 年 出 现 的 C o n f i c k e r ， 该 僵 尸 网 络 以 日 期 为 输 入 ， 每 天 生 成 不 同 的 域 名 ， 其 中 A 变 种 在 3 小 时 内 生 成 2 5 0 个 域 名 尝 试 连 接 ， 而 2 0 0 9 年 出 现 的 C 变 种 更 将 该 数 字 提 高 到 了 5 0 0 0 0 个 ， 但 实 际 访 问 时 只 会 挑 选 其 中 5 0 0 个 进 行 尝 试 。
              2 0 1 1 年 发 现 的 Z e u S _ G a m e o v e r 具 备 在 线 身 份 窃 取 和 恶 意 软 件 安 装 功 能 ， 该 僵 尸 网 络 采 用 D o m a i n   F l u x 协 议 ， 每 天 生 成 1 0 0 0 个 纯 字 符 域 名 ， T L D 包 括 c o m ，   b i z ，   o r g ，   n e t ，   r u   和 i n f o ； 今 年 2 月 出 现 的 勒 索 软 件 L o c k y 以 随 机 数 和 当 前 日 期 作 为 输 入 ， 但 一 天 只 生 成 并 访 问 6 个 域 名 ， D G A 详 情 请 参 考 F O R C E P O I N T 分 析 报 告 [ 1 ] ， 更 多 的 D o m a i n   F l u x 僵 尸 网 络 案 例 见 图 2 [ 2 ] 。 图 2   D G A 僵 尸 网 络 案 例 一 览 特 点 分 析 特 点 分 析 D G A 的 优 势 ： 1 .   较 为 健 壮 的 寻 址 方 式 ， 可 对 抗 域 名 黑 名 单 屏 蔽 、 静 态 声 望 系 统 以 及 特 征 码 检 测 系 统 ； 2 .   是 一 种 理 想 的 备 用 信 道 协 议 ， 可 作 为 b a c k   u p 手 段 恢 复 僵 尸 网 络 控 制 ， 如 Z e u s   v 3 。 D G A 的 缺 点 ： 1 .   需 要 逐 一 遍 历 A G D ， 寻 址 效 率 相 对 较 低 ； 2 .   大 量 N X D o m a i n 流 量 导 致 通 信 易 被 检 测 发 现 ； 3 .   如 果 A G D 数 量 过 多 ， 出 于 时 间 和 金 钱 成 本 开 销 ， 攻 击 者 难 以 全 部 注 册 ， 防 御 人 员 可 以 提 前 抢 注 并 通 过 s i n k h o l e 手 段 测 量 或 劫 持 僵 尸 网 络 。 防 御 简 述 防 御 简 述 　 　 　 　 对 于 D o m a i n   F l u x 僵 尸 网 络 的 检 测 需 要 从 协 议 实 现 引 发 的 “ 异 常 ” 来 进 行 判 断 ， 可 用 于 检 测 的 特 征 包 含 以 下 几 个 方 面 ： 1 .   寻 址 过 程 中 会 产 生 大 量 N X D o m a i n 报 文 ， 从 主 机 角 度 来 看 ， 数 量 上 比 正 常 用 户 要 高 ， 比 如 M u r o f e t 每 天 产 生 超 过 1 0 个 N X D o m a i n ， 而 据 D a m b a l l a   L a b s 观 测 结 果 显 示 ， 9 2 % 正 常 用 户 不 会 超 过 1 0 个 ； 2 .   T T L 普 遍 较 低 ， 解 析 的 I P 地 址 可 能 存 在 复 用 的 现 象 （ 历 史 绑 定 的 域 名 为 恶 意 域 名 ） ； 3 .   如 果 某 域 名 的 D N S 解 析 数 在 一 个 时 间 窗 内 的 呈 现 爆 炸 性 增 长 随 后 迅 速 下 降 ， 该 域 名 很 有 可 能 为 A G D （ 如 图 3 所 示 ） ； 4 .   为 了 防 止 和 已 注 册 域 名 发 生 碰 撞 ， A G D 的 长 度 通 常 较 长 ； 5 .   A G D 不 具 备 可 读 性 ， 同 正 常 域 名 相 比 违 反 元 辅 音 组 合 规 律 ， 字 母 分 布 呈 现 完 全 随 机 化 的 特 点 ， 其 熵 值 通 常 较 高 ， 利 用 n -
g r a m 模 型 （ b i g r a m 和 t r i g r a m ） [ 3 ] 描 述 可 以 发 现 差 异 性 。 图 3   A G D   D N S 查 询 流 量 总 结 总 结 　 　 D o m a i n   F l u x 虽 然 是 种 古 老 的 协 议 ， 但 时 至 今 日 该 方 法 仍 十 分 有 效 ， 使 攻 击 者 在 攻 防 博 弈 过 程 中 占 据 上 风 ， 根 据 f l u x 思 量 衍 生 的 U R L   F l u x 亦 为 攻 击 者 提 供 了 新 的 武 器 ， 从 防 御 的 角 度 而 言 ， D o m a i n   F l u x 的 对 抗 固 然 离 不 开 逆 向 工 程 ， 但 P a s s i v e D N S 与 机 器 学 习 算 法 相 结 合 才 是 更 高 效 的 检 测 方 法 。 参 考 文 献 参 考 文 献 　 　 [ 1 ]       N i c h o l a s   G r i f f i n .   L O C K Y ' S   N E W D G A   -   S E E D I N G   T H E   N E W   D O M A I N S   . h t t p s : / / b l o g s . f o r c e p o i n t . c o m / s e c u r i t y - l a b s / l o c k y s - n e w - d g a - s e e d i n g - n e w - d o m a i n s             [ 2 ]         D a n i e l   P .   D G A r c h i v e   A   d e e p   d i v e i n t o   d o m a i n   g e n e r a t i n g   m a l w a r e .   h t t p s : / / w w w . b o t c o n f . e u / w p - c o n t e n t / u p l o a d s / 2 0 1 5 / 1 2 / O K - P 0 6 - P l o h m a n n - D G A r c h i v e . p d f             [ 3 ]         L i t a l   A s h e r - D o t a n .   T h e   F B I   v s . G a m e O v e r   Z e u s :   W h y   T h e   D G A - B a s e d   B o t n e t   W i n s .   h t t p : / / w w w . c y b e r e a s o n . c o m / t h e - f b i - v s - g a m e o v e r - z e u s - w h y - t h e - d g a - b a s e d - b o t n e t - w i n s /             [ 4 ]         p h u n t e r . 用 机 器 学 习 识 别 随 机 生 成 的 C & C 域 名 . h t t p : / / d r o p s . w o o y u n . o r g / t i p s / 6 2 2 0             [ 5 ]         A n t o n a k a k i s   M ,   D e m a r   J ,   E l i s a n C ,   e t   a l .   D g a s   a n d   c y b e r - c r i m i n a l s :   A   c a s e   s t u d y [ J ] .   2 0 1 2 .             [ 6 ]         B a r a b o s c h   T ,   W i c h m a n n   A ,   L e d e r F ,   e t   a l .   A u t o m a t i c   e x t r a c t i o n   o f   d o m a i n   n a m e   g e n e r a t i o n   a l g o r i t h m s   f r o m c u r r e n t   m a l w a r e [ C ] / / P r o c .   N A T O S y m p o s i u m   I S T - 1 1 1   o n   I n f o r m a t i o n   A s s u r a n c e   a n d C y b e r   D e f e n s e ,   K o b l e n z ,   G e r m a n y .   2 0 1 2 . 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理