ドメイン生成アルゴリズム

ドメイン生成アルゴリズム（DGA）は、さまざまなマルウェアファミリーで見られるアルゴリズムで、コマンド＆コントロールサーバーとのランデブーポイントとして使用できる多数のドメイン名を定期的に生成するために使用されます。潜在的なランデブーポイントが多数存在するため、感染したコンピューターは更新やコマンドを受信するために毎日これらのドメイン名のいくつかにアクセスしようとするため、法執行機関がボットネットを効果的にシャットダウンすることは困難です。マルウェアコードで公開鍵暗号を使用しているため、一部のワームはマルウェアコントローラーによって 署名されていない更新を自動的に拒否するため、法執行機関やその他の攻撃者がマルウェアコントローラーからのコマンドを模倣することは不可能です

たとえば、感染したコンピュータは、www.<gibberish>.comなどの何千ものドメイン名を作成し、更新やコマンドを受信する目的でこれらの一部に接続しようとする可能性があります。

マルウェアの難読化されていないバイナリに、コマ​​ンド アンド コントロール サーバーによって以前に生成されたドメインのリストではなく、DGA を埋め込むことで、企業内の感染したホストからの送信通信を制限しようとするネットワーク ブラックリスト アプライアンスに事前に送り込まれる可能性のある文字列ダンプから保護されます。

この手法は、 Conficker.aおよび.bワームファミリーによって普及しました。これらのワームは当初、1日に250個のドメイン名を生成していました。Conficker.C以降、マルウェアは毎日5万個のドメイン名を生成し、そのうち500個にアクセスを試みます。マルウェア管理者が1日に1個のドメインしか登録していない場合、感染したマシンが毎日更新される可能性は1%になります。感染したコンピュータがマルウェアを更新するのを防ぐには、法執行機関は毎日5万個の新しいドメイン名を事前登録する必要がありました。ボットネット所有者の視点から見ると、各ボットが毎日照会する複数のドメインのうち、1つまたは数個のドメインを登録するだけで済みます。

最近、この手法は他のマルウェア作成者にも採用されています。ネットワークセキュリティ企業Damballaによると、2011年時点で最も蔓延しているDGAベースのクライムウェアファミリーのトップ5は、Conficker、Murofet、BankPatch、Bonnana、Bobaxです。[ 1 ]

DGAは辞書の単語を組み合わせてドメインを生成することもできます。これらの辞書はマルウェアにハードコードされているか、公開されているソースから取得されている可能性があります。[ 2 ]辞書DGAによって生成されたドメインは、正規のドメインとの類似性が高いため、検出が困難になる傾向があります。

例

def generate_domain ( year : int , month : int , day : int ) -> str : """指定された日付のドメイン名を生成します。""" domain = ""iが範囲( 16 )の場合:年= ((年^ 8 *年) >> 11 ) ^ ((年& 0xFFFFFFF0 ) << 17 )月= ((月^ 4 *月) >> 25 ) ^ 16 * (月& 0xFFFFFFF8 )日= ((日^ (日<< 13 )) >> 19 ) ^ ((日& 0xFFFFFFFE ) << 12 )ドメイン+= chr (((年^月^日) % 25 ) + 97 )リターンドメイン+ 「.com」

例えば、2014年1月7日には、このメソッドはドメイン名 を生成していましたintgmxdeadnxuyla.comが、翌日には を返します。この単純な例は、 CryptoLockeraxwscwsslmiagfah.comのようなマルウェアによって実際に使用されていましたが、その後、より高度な亜種へと変化しました。

検出

DGAドメイン名[ 3 ]はブラックリストを使用してブロックできますが、これらのブラックリストの対象範囲は狭い（公開ブラックリスト）か、非常に一貫性がありません（商用ベンダーのブラックリスト）。[ 4 ]検出技術は、リアクティブとリアルタイムの2つの主要なクラスに属します。リアクティブ検出は、非教師ありクラスタリング技術と、ネットワークNXDOMAIN応答[ 5 ] 、 WHOIS情報[ 6 ]、パッシブDNS [ 7 ]などのコンテキスト情報に依存してドメ​​イン名の正当性を評価します。ディープラーニング技術を使用してDGAドメイン名を検出する最近の試みは非常に成功しており、F1スコアは99％を超えています。[ 8 ]これらのディープラーニング手法では、通常、LSTMおよびCNNアーキテクチャが使用されますが、[ 9 ] 、ディープワード埋め込みは辞書DGAの検出に大きな可能性を示しています。[ 10 ]ただし、これらのディープラーニングアプローチは敵対的手法に対して脆弱である可能性があります。[ 11 ] [ 12 ]

参照

参考文献

  1. ^ 「最も蔓延しているDGAベースのクライムウェアファミリートップ5」(PDF) . Damballa . p. 4. 2016年4月3日時点のオリジナル(PDF)からのアーカイブ。
  2. ^ Plohmann, Daniel; Yakdan, Khaled; Klatt, Michael; Bader, Johannes; Gerhards-Padilla, Elmar (2016). 「ドメイン生成マルウェアの包括的測定研究」(PDF) .第25回USENIXセキュリティシンポジウム: 263– 278.
  3. ^ Shateel A. Chowdhury、「ドメイン生成アルゴリズム - マルウェアにおけるDGA」、2024年1月30日。
  4. ^ Kührer, Marc; Rossow, Christian; Holz, Thorsten (2014), Stavrou, Angelos; Bos, Herbert; Portokalidis, Georgios (eds.) 「Paint It Black: Evaluating the Effectiveness of Malware Blacklists」(PDF) , Research in Attacks, Intrusions and Defenses , vol. 8688, Springer International Publishing, pp.  1– 21, doi : 10.1007/978-3-319-11379-1_1 , ISBN 97833191137842019年3月15日閲覧{{citation}}: CS1 maint: ISBNによる作業パラメータ（リンク）
  5. ^ Antonakakis, Manos; et al. (2012). 「使い捨てトラフィックからボットへ：DGAベースマルウェアの台頭の検知」第21回USENIXセキュリティシンポジウム：491–506 .
  6. ^ Curtin, Ryan; Gardner, Andrew; Grzonkowski, Slawomir; Kleymenov, Alexey; Mosquera, Alejandro (2018). 「リカレントニューラルネットワークとサイド情報を用いたDGAドメインの検出」arXiv : 1810.02023 [ cs.CR ].
  7. ^ Pereira, Mayana; Coleman, Shaun; Yu, Bin; De Cock, Martine; Nascimento, Anderson (2018)、「パッシブDNSトラフィックにおけるアルゴリズム生成ドメイン名の辞書抽出と検出」（PDF）、『攻撃、侵入、防御の研究』、Lecture Notes in Computer Science、vol. 11050、Springer International Publishing、pp.  295– 314、doi : 10.1007/978-3-030-00470-5_14、ISBN 978-3-030-00469-92019年3月15日閲覧
  8. ^ウッドブリッジ、ジョナサン、アンダーソン、ハイラム、アフージャ、アンジュム、グラント、ダニエル (2016). 「長短期記憶ネットワークを用いたドメイン生成アルゴリズムの予測」arXiv : 1611.00791 [ cs.CR ]
  9. ^ Yu, Bin; Pan, Jie; Hu, Jiaming; Nascimento, Anderson; De Cock, Martine (2018). 「文字レベルに基づくDGAドメイン名の検出」(PDF) . 2018 International Joint Conference on Neural Networks (IJCNN) . リオデジャネイロ: IEEE. pp.  1– 8. doi : 10.1109/IJCNN.2018.8489147 . ISBN 978-1-5090-6014-6. S2CID  52398612 .
  10. ^ Koh, Joewie J.; Rhodes, Barton (2018). 「文脈依存単語埋め込みによるドメイン生成アルゴリズムのインライン検出」. 2018 IEEE国際ビッグデータ会議 (Big Data) . シアトル、ワシントン州、米国: IEEE. pp.  2966– 2971. arXiv : 1811.08705 . doi : 10.1109/BigData.2018.8622066 . ISBN 978-1-5386-5035-6. S2CID  53793204 .
  11. ^アンダーソン、ハイラム、ウッドブリッジ、ジョナサン、ボビー、フィラー (2016). 「DeepDGA：敵対的に調整されたドメイン生成と検出」arXiv : 1610.01969 [ cs.CR ]
  12. ^ Sidi, Lior; Nadler, Asaf; Shabtai, Asaf (2019). 「MaskDGA: DGA分類器と敵対的防御に対するブラックボックス回避技術」arXiv : 1902.08909 [ cs.CR ].

さらに詳しい情報

「 https://en.wikipedia.org/w/index.php?title=ドメイン生成アルゴリズム&oldid =1315174615」より取得