Perché non più famiglie di malware DGA utilizzano elenchi di parole?

Question

Perché non più famiglie di malware DGA utilizzano elenchi di parole?

#1 da (1 voti)

0

Di tutte le famiglie di malware conosciute che utilizzano DGA per comunicare con il proprio C2, solo pochissimi utilizzano DGA che generano nomi di dominio non casuali. Ad esempio, Suppobox genera nomi di dominio selezionando casualmente poche parole da una lista di parole codificate e concatenandole insieme. Rovnix fa lo stesso, ma utilizza copie pubblicamente accessibili della Costituzione degli Stati Uniti piuttosto che un elenco codificato.

L'obiettivo di questo è abbastanza chiaro: aggirare gli algoritmi utilizzati dai software di sicurezza che rilevano nomi di dominio dall'aspetto casuale. Quindi questo mi chiede: perché non fanno più DGA? Per un progettista di malware, quali sono i possibili svantaggi dell'utilizzo di questa strategia?

dns malware

posta kjwill555 29.08.2017 - 01:33

fonte

1 risposta

Leggi altre domande sui tag dns malware

Pacchetti Rogue TCP e numeri di sequenza impliciti SSL Airodump-ng e il mio iPhone

score 1 · Answer 1

Anche i cappelli neri hanno risorse limitate, come i cappelli bianchi. Quindi, finché una tecnica funziona abbastanza bene per un malware non c'è molta motivazione per cambiarlo. Invece è più efficace migliorare le parti del malware che sono maggiormente influenzate dai progressi dei cappelli bianchi. Tuttavia, se l'attuale algoritmo DGA ha un impatto troppo pesante sulla funzionalità del malware, gli autori probabilmente passeranno a diversi algoritmi o utilizzeranno una diversa architettura di comunicazione C + C.