DGA

Una lista de nombres que cambia complica el seguimiento, pero el aspecto raro del dominio no dicta sentencia. Primero el patrón y el contexto; después invocamos conclusiones. (・_・?)

Un Domain Generation Algorithm genera nombres de dominio a partir de reglas y entradas. En malware puede servir para encontrar infraestructura de mando y control sin depender de un único nombre fijo. El programa y su operador pueden calcular los mismos candidatos; el operador registra algunos de ellos para recibir conexiones. MITRE ATT&CK: T1568.002.

Qué cambia exactamente

Supongamos, como ejemplo conceptual, que una regla usa la fecha y una semilla para producir una lista diaria. El malware consulta candidatos hasta encontrar uno que responda como espera. No hace falta que todos estén registrados.

Los nombres no tienen por qué parecer un teclado golpeado con la frente: también existen algoritmos que combinan palabras. Buscar únicamente cadenas «raras» dejaría fuera parte del problema.

Mirarlo en los registros

Como punto de partida para investigar, podemos comparar las consultas por equipo y por intervalo: nombres consultados, respuestas, repeticiones y proceso que las originó, si tenemos esa visibilidad. La cantidad aislada aporta poco sin una referencia de lo normal en ese entorno.

Una alerta sobre un posible DGA es una hipótesis de trabajo. Antes de atribuirla a malware, toca contrastarla con el resto de la actividad del host.

Para no mezclar conceptos:

• TLD es un nivel de la jerarquía DNS.
• Fast Flux rota direcciones IP detrás de un nombre.
• DGA produce nombres candidatos. Ambas técnicas pueden combinarse, pero son mecanismos distintos.

Relacionado: Pirámide del dolor.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: f4ffad522478          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+