* 本文原創(chuàng)作者：ArkTeam/Shadow_KK，本文屬FreeBuf原創(chuàng)獎(jiǎng)勵(lì)計(jì)劃，未經(jīng)許可禁止轉(zhuǎn)載
Domain Generation Algorithm(DGA)是一項(xiàng)古老但一直活躍的技術(shù)，是中心結(jié)構(gòu)僵尸網(wǎng)絡(luò)賴以生存的關(guān)鍵武器，該技術(shù)給打擊和關(guān)閉該類型僵尸網(wǎng)絡(luò)造成了不小的麻煩，研究人員需要快速掌握域名生成算法和輸入，對(duì)生成的域名及時(shí)進(jìn)行sinkhole。
背景
僵尸網(wǎng)絡(luò)指攻擊者（Botmaster）出于惡意目的，通過(guò)命令控制信道（C&C Channel）操控一群受害主機(jī)（Bots）所形成的攻擊平臺(tái)。通過(guò)該平臺(tái)，攻擊者可以發(fā)起多種常見攻擊，包括DDoS、垃圾郵件、釣魚攻擊、點(diǎn)擊欺詐、在線身份竊取、比特幣挖掘/竊取、加密勒索等。
同傳統(tǒng)惡意代碼形態(tài)相比，僵尸網(wǎng)絡(luò)的攻擊實(shí)現(xiàn)依賴攻擊者和受害主機(jī)之間的信息交互，即攻擊者需要告知僵尸主機(jī)命令，僵尸主機(jī)才可發(fā)起相應(yīng)的攻擊，命令的下發(fā)通過(guò)命令控制信道實(shí)現(xiàn)，這是僵尸網(wǎng)絡(luò)構(gòu)建的核心，也是攻防雙方博弈的關(guān)鍵點(diǎn)。
在早期中心結(jié)構(gòu)的僵尸網(wǎng)絡(luò)中，僵尸主機(jī)通常采用輪詢的方法訪問(wèn)硬編碼的C&C 域名或 IP來(lái)訪問(wèn)命令控制服務(wù)器，獲取攻擊者命令，由于硬編碼的域名或IP固定且數(shù)量有限，防御人員通過(guò)逆向掌握該部分內(nèi)容后可對(duì)該域名進(jìn)行有效的屏蔽，阻斷其命令控制途徑，使其失去控制源并逐漸消亡。該種缺陷稱之為中心節(jié)點(diǎn)失效（single-point-of-failure）。
基本概念
為了解決上述問(wèn)題，攻擊者使用Domain Flux協(xié)議來(lái)對(duì)抗防御人員的關(guān)閉，僵尸主機(jī)訪問(wèn)的C&C域名不再是靜態(tài)硬編碼，而是根據(jù)一定算法動(dòng)態(tài)生成的、變化的域名，攻擊者和肉雞通信的集合點(diǎn)（rendezvous points）動(dòng)態(tài)變化，防御人員難以關(guān)閉，該域名生成算法稱之為DGA（Domain Generation Algorithm），算法的輸入稱為Seeds，涵蓋日期、社交網(wǎng)絡(luò)搜索熱詞、隨機(jī)數(shù)或字典，如圖1所示，生成的一串特殊字符前綴（比如kvbtltjwoxf52b68nslulzgvevh44bvatey）添加TLD后得到最終域名資源，該域名稱為AGD（Algorithmically-Generated Domain），攻擊者只需成功注冊(cè)并讓肉雞訪問(wèn)到一個(gè)AGD即可實(shí)現(xiàn)僵尸網(wǎng)絡(luò)的控制，而防御人員為了徹底關(guān)閉該僵尸網(wǎng)絡(luò)，需要屏蔽所有的AGD，成本極大，因此，Domain Flux被認(rèn)為是一種非常健壯的命令控制協(xié)議。
圖1 DGA實(shí)現(xiàn)示意圖
發(fā)展歷史
早期Domain Flux僵尸網(wǎng)絡(luò)為2007年出現(xiàn)的Torpig和Karken，前者以Twitter熱點(diǎn)話題為seed，后者則以當(dāng)前日期為輸入。最經(jīng)典的案例為2008年出現(xiàn)的Conficker，該僵尸網(wǎng)絡(luò)以日期為輸入，每天生成不同的域名，其中A變種在3小時(shí)內(nèi)生成250個(gè)域名嘗試連接，而2009年出現(xiàn)的C變種更將該數(shù)字提高到了50000個(gè)，但實(shí)際訪問(wèn)時(shí)只會(huì)挑選其中500個(gè)進(jìn)行嘗試。
2011年發(fā)現(xiàn)的ZeuS_Gameover具備在線身份竊取和惡意軟件安裝功能，該僵尸網(wǎng)絡(luò)采用Domain Flux協(xié)議，每天生成1000個(gè)純字符域名，TLD包括com， biz， org， net， ru 和info；今年2月出現(xiàn)的勒索軟件Locky以隨機(jī)數(shù)和當(dāng)前日期作為輸入，但一天只生成并訪問(wèn)6個(gè)域名，DGA詳情請(qǐng)參考FORCEPOINT分析報(bào)告[1]，更多的Domain Flux僵尸網(wǎng)絡(luò)案例見圖2[2]。
圖2 DGA僵尸網(wǎng)絡(luò)案例一覽
案例簡(jiǎn)析
今年2月出現(xiàn)的勒索軟件Locky同樣采用DomainFlux協(xié)議，其變種樣本層出不窮，算法輸入不斷變化。以公開的v3版本算法為例[5]，如圖3所示，不同樣本硬編碼初始隨機(jī)數(shù)（seed）、偏移量（shift）以及TLD（tlds）三部分信息。
圖3 不同樣本硬編碼的DGA配置信息
其DGA算法以當(dāng)前年月日為輸入，結(jié)合上述硬編碼信息進(jìn)行一系列變化，最終得到結(jié)果值k，如圖4所示。
圖4 Locky v3DGA實(shí)現(xiàn)核心代碼
如圖5所示，K值決定了域名前綴的長(zhǎng)度（7~17位）和內(nèi)容，由純小寫字母組成，TLD也同樣由K值決定，前綴和TLD組合得到了最終生成域名（如圖6所示）。更多Locky DGA詳情請(qǐng)參考FORCEPOINT分析報(bào)告[1]。
圖5 AGD生成
圖6 生成的AGD結(jié)果
特點(diǎn)分析
DGA的優(yōu)勢(shì)：
1.較為健壯的尋址方式，可對(duì)抗域名黑名單屏蔽、靜態(tài)聲望系統(tǒng)以及特征碼檢測(cè)系統(tǒng)；
2.是一種理想的備用信道協(xié)議，可作為back up手段恢復(fù)僵尸網(wǎng)絡(luò)控制，如Zeus v3。
DGA的缺點(diǎn)：
1.需要逐一遍歷AGD，尋址效率相對(duì)較低；
2.大量NXDomain流量導(dǎo)致通信易被檢測(cè)發(fā)現(xiàn)；
3.如果AGD數(shù)量過(guò)多，出于時(shí)間和金錢成本開銷，攻擊者難以全部注冊(cè)，防御人員可以提前搶注并通過(guò)sinkhole手段測(cè)量或劫持僵尸網(wǎng)絡(luò)。
防御簡(jiǎn)述
對(duì)于Domain Flux僵尸網(wǎng)絡(luò)的檢測(cè)需要從協(xié)議實(shí)現(xiàn)引發(fā)的“異常”來(lái)進(jìn)行判斷，可用于檢測(cè)的特征包含以下幾個(gè)方面：
1.尋址過(guò)程中會(huì)產(chǎn)生大量NXDomain報(bào)文，從主機(jī)角度來(lái)看，數(shù)量上比正常用戶要高，比如Murofet每天產(chǎn)生超過(guò)10個(gè)NXDomain，而據(jù)Damballa Labs觀測(cè)結(jié)果顯示，92%正常用戶不會(huì)超過(guò)10個(gè)；
2. TTL普遍較低，解析的IP地址可能存在復(fù)用的現(xiàn)象（歷史綁定的域名為惡意域名）；
3.如果某域名的DNS解析數(shù)在一個(gè)時(shí)間窗內(nèi)的呈現(xiàn)爆炸性增長(zhǎng)隨后迅速下降，該域名很有可能為AGD（如圖3所示）；
4.為了防止和已注冊(cè)域名發(fā)生碰撞，AGD的長(zhǎng)度通常較長(zhǎng)；
5.AGD不具備可讀性，同正常域名相比違反元輔音組合規(guī)律，字母分布呈現(xiàn)完全隨機(jī)化的特點(diǎn)，其熵值通常較高，利用n-gram模型（bigram和trigram）[3]描述可以發(fā)現(xiàn)差異性。
圖7 AGD DNS查詢流量
總結(jié)
Domain Flux雖然是種古老的協(xié)議，但時(shí)至今日該方法仍十分有效，使攻擊者在攻防博弈過(guò)程中占據(jù)上風(fēng)，根據(jù)flux思量衍生的URL Flux亦為攻擊者提供了新的武器，從防御的角度而言，Domain Flux的對(duì)抗固然離不開逆向工程，但Passive DNS與機(jī)器學(xué)習(xí)算法相結(jié)合才是更高效的檢測(cè)方法。
參考文獻(xiàn)
[1]Nicholas Griffin. LOCKY’S NEWDGA –SEEDING THE NEW DOMAINS .https://blogs.forcepoint.com/security-labs/lockys-new-dga-seeding-new-domains
[2]Daniel P. DGArchive A deep diveinto domain generating malware.https://www.botconf.eu/wp-content/uploads/2015/12/OK-P06-Plohmann-DGArchive.pdf
[3]Lital Asher-Dotan. The FBI vs.GameOver Zeus: Why The DGA-Based Botnet Wins.http://www.cybereason.com/the-fbi-vs-gameover-zeus-why-the-dga-based-botnet-wins/
[4]phunter.用機(jī)器學(xué)習(xí)識(shí)別隨機(jī)生成的C&C域名.http://drops.wooyun.org/tips/6220
[5]Antonakakis M, Demar J, ElisanC, et al. Dgas and cyber-criminals: A case study[J]. 2012.
[6]Barabosch T, Wichmann A, LederF, et al. Automatic extraction of domain name generation algorithms fromcurrent malware[C]//Proc. NATO Symposium IST-111 on Information Assurance andCyber Defense, Koblenz, Germany. 2012.
* 本文原創(chuàng)作者：ArkTeam/Shadow_KK，本文屬FreeBuf原創(chuàng)獎(jiǎng)勵(lì)計(jì)劃，未經(jīng)許可禁止轉(zhuǎn)載
京公網(wǎng)安備 11010502049343號(hào)