9、恶意软件、僵尸网络与威胁生态系统解析

恶意软件、僵尸网络与威胁生态系统解析

1. 僵尸网络的域名流动技术

1.1 域名流动的背景与原理

传统僵尸网络依赖与僵尸代理一起分发的域名，这些域名要么硬编码在僵尸代理中，要么存在于与恶意软件包一起部署的配置文件里。攻击者通常通过向僵尸代理推送新域名或让僵尸代理从命令与控制服务器（C&C）拉取信息来更新域名。然而，一旦连接C&C的域名被封锁，僵尸代理就无法获取更新命令，与C&C的通信也会中断。

为了解决这个问题，出现了域名流动技术。域名流动是指僵尸能够定期生成唯一域名的能力，其核心是域名生成算法（DGA）。这就好比两个罪犯约定用特定方式在联系方式失效时重新取得联系。僵尸代理在连接C&C失败时，依据DGA生成新域名，尝试重新连接。

1.2 DGA的工作方式与示例

DGA是嵌入在恶意软件或僵尸代理中的代码，其主要目的是生成僵尸代理可用于连接C&C的域名。不同的恶意软件变种生成域名的数量不同，例如Conficker.A和Conficker.B的DGA每天生成250个域名，Conficker.C每天生成50,000个域名，但仅使用其中500个。

需要注意的是，DGA生成的域名并非随机，而是一系列指令（包括数学和字符串操作）的产物。

1.3 域名流动的优缺点

优点

• 规避黑名单 ：收集并添加所有生成的域名到黑名单是不现实的，例如Conficker的三个变种每年生成超过1800万个域名。
• 攻击者控制 ：攻击者