T1568.002: 域名生成算法

摘要

攻击者可能利用域名生成算法（DGA）动态识别命令与控制流量的目标域名，而不是依赖静态的 IP 地址或域名列表。这样做的优点是使防御者更难阻止、跟踪或接管命令与控制通道，因为恶意软件可能会检查成千上万个域名来获取指令。(Citation: Cybereason Dissecting DGAs)(Citation: Cisco Umbrella DGA)(Citation: Unit 42 DGA Feb 2019) DGA 在通过生成每个字母来构造域名时，可能表现为看起来随机或“乱码”的字符串（例如 istgmxdejdnxuyla.ru）。或者，一些 DGA 以整个单词为单位，将单词拼接在一起，而不是拼接字母（例如 cityjulydish.net）。许多 DGA 是基于时间的，为每个时间段（每小时、每天、每月等）生成不同的域名。其他的还加入了种子值，使防御者更难预测未来的域名。(Citation: Cybereason Dissecting DGAs)(Citation: Cisco Umbrella DGA)(Citation: Talos CCleanup 2017)(Citation: Akamai DGA Mitigation) 攻击者可能出于[备用通道](https://attack.mitre.org/techniques/T1008)的目的使用 DGA。当与主命令与控制服务器失去联系时，恶意软件可能采用 DGA 作为重建命令与控制的手段。(Citation: Talos CCleanup 2017)(Citation: FireEye POSHSPY April 2017)(Citation: ESET Sednit 2017 Activity)