[논문 리뷰] A Study of Newly Observed Hostnames and DNS Tunneling in the Wild

Dennis Tatang, Florian Quinkert외 2명|arXiv (Cornell University)|2019. 02. 22.

Environmental DNA in Biodiversity Studies참고 문헌 17인용 수 8

한 줄 요약

이 논문은 수동 DNS 데이터를 사용하여 새로 관측된 호스트네임에 대한 대규모 측정 연구를 제시하며, 구글의 AMP, 스포티파이, 그리고 DNS 터널 제공업체가 매일 생성하는 신규 도메인의 절반 이상을 차지하고 있음을 밝혀냈다. 저자들은 서브도메인 수 및 리소스 레코드 유형(예: NULL, TXT)과 같은 DNS 쿼리 특성에 기반한 단계적 필터링 방법을 제안하여 DNS 터널링을 탐지하였으며, Wekby 및 APT32와 같은 APT 캠프aign과 연결된 273개의 의심스러운 도메인을 식별하였다.

ABSTRACT

The domain name system (DNS) is a crucial backbone of the Internet and millions of new domains are created on a daily basis. While the vast majority of these domains are legitimate, adversaries also register new hostnames to carry out nefarious purposes, such as scams, phishing, or other types of attacks. In this paper, we present insights on the global utilization of DNS through a measurement study examining exclusively newly observed hostnames via passive DNS data analysis. We analyzed more than two billion such hostnames collected over a period of two months. Surprisingly, we find that only three second-level domains are responsible for more than half of all newly observed hostnames every day. More specifically, we found that Google's Accelerated Mobile Pages (AMP) project, the music streaming service Spotify, and a DNS tunnel provider generate the majority of new domains on the Internet. DNS tunneling is a covert channel technique to transfer arbitrary information over DNS via DNS queries and answers. This technique is often (ab)used by attackers to transfer data in a stealthy way, bypassing traditional network security systems. We find that potential DNS tunnels cause a significant fraction of the global DNS requests for new hostnames: our analysis reveals that nearly all resource record type NULL requests and more than a third of all TXT requests can be attributed to DNS tunnels. Motivated by these empirical measurement results, we propose and implement a method to identify DNS tunnels via a step-wise filtering approach that relies on general characteristics of such tunnels (e.g., number of subdomains or resource record type). Using our approach on empirical data, we successfully identified 273 suspicious domains related to DNS tunnels, including two known APT campaigns (Wekby and APT32).

연구 동기 및 목표

• 글로벌 DNS 생태계 내에서 새로 관측된 호스트네임의 분포 및 기원을 이해하기 위해.
• 수동 DNS 데이터를 활용하여 실세계 트래픽에서 DNS 터널링의 보편성과 특성을 조사하기 위해.
• 내부 네트워크 가시성에 의존하지 않는 가용성과 확장성이 뛰어난 글로벌 탐지 방법을 개발하기 위해.
• 악성 DNS 터널링 캠프aign, 특히 확인된 APT 그룹을 식별하고 분석하기 위해.
• DNS 터널링이 현대 인터넷 인프라에서 널리 퍼져 있고 활발히 사용되고 있음을 경험적 증거로 제시하기 위해.

제안 방법

• Farsight DNS 센서 네트워크를 통해 수백만 개 이상의 새로 관측된 전체 도메인 이름(FQDN)을 수집하고 분석하였다.
• 서브도메인 수 및 리소스 레코드 유형(예: NULL, TXT)과 같은 DNS 터널의 구조적 및 행동적 특성에 기반한 단계적 필터링 접근법을 적용하였다.
• 높은 서브도메인 빈도 및 비표준 레코드 유형(예: NULL)과 같은 히우리스틱을 사용하여 잠재적 터널링 활동을 경고 표시하였다.
• 기존의 터널링 도구(예: iodine)와 도메인 패tern을 활용하여 탐지 정확도를 검증하였다.
• 확인된 APT 캠프aign(Weckby 및 APT32)에 대한 사례 연구를 수행하여 탐지 효과성을 검증하였다.
• 기존에 알려진 도메인에 대한 편향을 피하기 위해 유일하게 새로 관측된 호스트네임에 집중하여, 이전에 알려지지 않았거나 제로데이 터널링 활동을 탐지할 수 있도록 하였다.

실험 결과

연구 질문

• RQ1 글로벌 DNS 생태계에서 새로 관측된 호스트네임의 주요 원천은 무엇인가요?
• RQ2 실세계 인터넷 트래픽에서 DNS 터널링은 얼마나 널리 사용되고 있으며, 특히 새로 등록된 도메인에서 어떤 정도의 영향을 미치는가요?
• RQ3 내부 네트워크 가시성 없이도 글로벌 센서 네트워크에서의 수동 DNS 데이터를 효과적으로 사용하여 DNS 터널링을 탐지할 수 있는가요?
• RQ4 실세계에서 가장 퍼진 DNS 터널링 도구와 인프라는 무엇인가요?
• RQ5 기존에 알려진 APT 캠프aign은 새로 관측된 호스트네임과 DNS 터널링 패턴 분석을 통해 탐지할 수 있는가요?

주요 결과

• 오직 세 개의 서브도메인 도메인—구글의 AMP, 스포티파이, 그리고 DNS 터널 제공업체—만으로도 매일 새로 관측된 호스트네임의 절반 이상을 차지하였다.
• NULL 리소스 레코드를 사용하는 거의 모든 DNS 요청은 DNS 터널링으로 기인한 것으로 확인되었으며, 이는 NULL 쿼리가 터널링 활동의 강력한 지표임을 시사한다.
• 모든 TXT 레코드 요청의 35% 이상이 DNS 터널링과 관련되어 있었으며, 이는 은폐된 통신에 TXT 레코드가 널리 사용되고 있음을 강조한다.
• 본 연구에서는 DNS 터널링에 사용될 수 있는 273개의 의심스러운 도메인을 식별하였으며, 가장 퍼진 도구는 iodine였다.
• DNS 터널 트래픽의 상당 부분은 독일 기반의 제공업체 yourfreedom.com으로 추적되었으며, 이는 터널링을 위한 중심화된 인프라가 존재함을 시사한다.
• 사례 연구를 통해 데이터셋 내에 확인된 APT 캠프aign(Weckby 및 APT32)이 존재함을 확인하였으며, 이는 DNS 터널링이 고도로 발전한 지속적 공격에서 여전히 활발히 사용되고 있음을 입증한다.