具有动态种子的 DGA 系列：DNS 流量中的意外行为

介绍

在这篇博文中，我们将简要概述 DGA，然后分享一些有趣的发现。

Akamai 安全情报小组能够分析来自CacheServe DNS 服务器的 DNS 查询的匿名日志。作为我们僵尸网络检测工作的一部分，我们观察和监控了 100 多个已知 DGA 家族的实际行为。

我们发现，动态种子 DGA（DGA 的一个子集）的行为通常与逆向工程 DGA 算法本身所暗示的行为截然不同。更准确地说，我们看到 DGA 域名在预期生成日期之前被激活。

什么是域生成算法？

恶意软件（例如僵尸网络）通常需要与集中式服务器通信以接收命令或更新。

DGA是恶意软件用来生成大量半随机域名的算法。

受感染的设备会定期尝试连接到 DGA 提供的整个算法生成的域集。只需成功访问一个域即可与 C2 服务器建立连接。这使得网络安全研究人员更难切断 C2 通信。

工作原理

例如，想象一个僵尸网络使用假设的 DGA 家族或变体，每天生成 500 个恶意域名。

使用此 DGA 系列的受感染设备每天都会查询这 500 个域名。僵尸网络的 C2 服务器每天都会生成相同的 500 个域名（我们假设使用的是相同的种子 — 稍后会详细介绍）。但是，恶意行为者只需控制这 500 个域名中的 1 个即可与受感染的机器（机器人）建立通信。

有时种子会发生变化，从而生成一组新的域名，然后重新开始这个过程。这使得安全研究人员很难阻止恶意流量，因为域名经常变化，而且通常是随机的域名，例如“ghlidae[.]com”。

顶级域名 (TLD) 是硬编码的，并且大多限于那些获取成本低廉的 TLD。

目前存在许多不同的 DGA。一旦安全社区发现一种新算法（有时设法对其进行逆向工程），通常会为其赋予一个“家族名称”。一些最著名的 DGA 家族包括 Conficker、Mirai和 CryptoLocker。

DGA 的历史

僵尸网络、犯罪软件和