Loading article…
ドメイン生成アルゴリズム（DGA）は、様々なマルウェアファミリーに見られるアルゴリズムで、コマンド＆コントロールサーバーとのランデブーポイントとして使用できる多数のドメイン名を定期的に生成するために使用されます。ランデブーポイントの数が膨大であるため、感染したコンピュータはアップデートやコマンドを受信するために毎日これらのドメイン名の一部に接続しようとするため、法執行機関がボットネットを効果的に停止することは困難です。マルウェアコードに公開鍵暗号が使用されているため、一部のワームはマルウェアコントローラによって署名されていないアップデートを自動的に拒否するため、法執行機関やその他の関係者がマルウェアコントローラからのコマンドを模倣することは不可能です。
例えば、感染したコンピュータは、www.<意味不明な文字列>.comのようなドメイン名を何千個も作成し、アップデートやコマンドを受信する目的で、これらのドメイン名の一部に接続を試みる可能性がある。
マルウェアの難読化されていないバイナリに、以前に（コマンドおよびコントロールサーバーによって）生成されたドメインのリストの代わりにDGAを埋め込むことで、企業内の感染ホストからの送信通信を制限しようとして、ネットワークブラックリストアプライアンスに事前に入力される可能性のある文字列ダンプから保護されます。
この手法は、当初は1日に250個のドメイン名を生成していたConficker.aおよび.bというワームファミリーによって普及しました。Conficker.C以降、このマルウェアは毎日50,000個のドメイン名を生成し、そのうち500個に接続を試みます。マルウェアの管理者が1日に1つのドメインしか登録しない場合、感染したマシンが毎日更新される可能性は1%になります。感染したコンピュータがマルウェアを更新するのを防ぐには、法執行機関は毎日50,000個の新しいドメイン名を事前に登録する必要がありました。ボットネットの所有者の視点からすると、各ボットが毎日問い合わせる複数のドメインのうち、1つまたは数個のドメインを登録するだけで済みます。
最近では、この手法は他のマルウェア作成者にも採用されている。ネットワークセキュリティ企業Damballaによると、2011年時点で最も普及しているDGAベースの犯罪ウェアファミリー上位5つはConficker、Murofet、BankPatch、Bonnana、Bobaxである。[ 1 ]
DGAは辞書から単語を組み合わせてドメインを生成することもできます。これらの辞書はマルウェアにハードコードされている場合もあれば、公開されているソースから取得されている場合もあります。[ 2 ]辞書DGAによって生成されたドメインは、正規のドメインと似ているため、検出がより困難になる傾向があります。
def generate_domain ( year : int , month : int , day : int ) -> str : """指定された日付のドメイン名を生成します。""" domain = ""for i in range ( 16 ): year = (( year ^ 8 * year ) >> 11 ) ^ (( year & 0xFFFFFFF0 ) << 17 ) month = (( month ^ 4 * month ) >> 25 ) ^ 16 * ( month & 0xFFFFFFF8 ) day = (( day ^ ( day << 13 )) >> 19 ) ^ (( day & 0xFFFFFFFE ) << 12 ) domain += chr ((( year ^ month ^ day ) % 25 ) + 97 )ドメイン+ ".com"を返します例えば、2014年1月7日にはこの方法でドメイン名が生成されintgmxdeadnxuyla.com、翌日にはが返されます。この単純な例は、より高度な亜種に移行する前に、 CryptoLockeraxwscwsslmiagfah.comのようなマルウェアによって実際に使用されていました。
DGA ドメイン名[ 3 ]はブラックリストを使用してブロックできますが、これらのブラックリストのカバー範囲は不十分 (公開ブラックリスト) か、非常に一貫性がありません (商用ベンダーのブラックリスト)。[ 4 ]検出技術は、反応型とリアルタイムの 2 つの主要なクラスに属します。反応型検出は、非教師ありクラスタリング技術と、ネットワーク NXDOMAIN 応答[ 5 ] WHOIS情報[ 6 ] 、パッシブ DNS [ 7 ]などのコンテキスト情報に依存して、ドメイン名の正当性を評価します。ディープラーニング技術を使用して DGA ドメイン名を検出する最近の試みは、 F1 スコアが 99% を超えるなど、非常に成功しています。 [ 8 ]これらのディープラーニング手法は通常、LSTMおよびCNNアーキテクチャを利用しますが、ディープワード埋め込みは辞書 DGA の検出に大きな可能性を示しています。[ 9 ]ただし、これらのディープラーニングアプローチは、敵対的技術に対して脆弱になる可能性があります。[ 11 ] [ 12 ]
{{cite web}}: CS1メンテナンス: アーカイブサービスは非推奨になりました (リンク)