芝麻开门：通过域名生成算法的种子重构对抗僵尸网络

许多僵尸网络的一个重要特性是能够利用域名生成算法（DGA）生成伪随机域名。网络犯罪分子可以注册这些域名，以建立与僵尸程序之间周期性变化的联络点。DGA 利用种子来生成域名集合。种子可以轻易更改，从而在使用相同底层算法的情况下生成全新的域名组。虽然这对攻击者而言几乎不需要手动操作，但安全专家通常必须手动逆向工程新的恶意软件变种以重构种子。只有知道种子和 DGA，才能生成过去和未来的域名，从而进行有效的归因、阻断、沉洞或用于取缔。文献中常见的对策包括基于数据库或机器学习（ML）的检测器，分别用于跟踪已知 DGA 的过去和未来域名，以及识别 DGA 生成的域名。然而，基于数据库的方法无法检测新 DGA 生成的域名，而 ML 方法则无法生成未来的域名。在本文中，我们介绍了 SESAME 系统，它结合了上述两种方法，并包含一个据我们所知首创的自动种子重构模块。该系统用于自动分类域名、评估其新颖性，并确定底层 DGA 的种子。SESAME 由多个针对特定 DGA 的种子重构器组成，其设计完全基于域名工作，因为域名可以通过观察网络流量轻松获取。我们在 20.8 GB 的 DNS 查询数据上评估了我们的方法。由此，我们识别出 17 个 DGA，其中 4 个对我们而言是全新的。