[论文解读] A Study of Newly Observed Hostnames and DNS Tunneling in the Wild

Dennis Tatang, Florian Quinkert+2 more|arXiv (Cornell University)|Feb 22, 2019

Environmental DNA in Biodiversity Studies参考文献 17被引用 8

一句话总结

本文基于被动DNS数据，对新出现的主机名开展大规模测量研究，发现Google的AMP、Spotify以及DNS隧道服务提供商每日生成超过一半的新域名。作者提出一种基于DNS查询特征（如子域名数量和资源记录类型，例如NULL、TXT）的分步过滤方法，以检测DNS隧道行为，识别出273个可疑域名，其中包括与APT活动（如Wekby和APT32）相关的域名。

ABSTRACT

The domain name system (DNS) is a crucial backbone of the Internet and millions of new domains are created on a daily basis. While the vast majority of these domains are legitimate, adversaries also register new hostnames to carry out nefarious purposes, such as scams, phishing, or other types of attacks. In this paper, we present insights on the global utilization of DNS through a measurement study examining exclusively newly observed hostnames via passive DNS data analysis. We analyzed more than two billion such hostnames collected over a period of two months. Surprisingly, we find that only three second-level domains are responsible for more than half of all newly observed hostnames every day. More specifically, we found that Google's Accelerated Mobile Pages (AMP) project, the music streaming service Spotify, and a DNS tunnel provider generate the majority of new domains on the Internet. DNS tunneling is a covert channel technique to transfer arbitrary information over DNS via DNS queries and answers. This technique is often (ab)used by attackers to transfer data in a stealthy way, bypassing traditional network security systems. We find that potential DNS tunnels cause a significant fraction of the global DNS requests for new hostnames: our analysis reveals that nearly all resource record type NULL requests and more than a third of all TXT requests can be attributed to DNS tunnels. Motivated by these empirical measurement results, we propose and implement a method to identify DNS tunnels via a step-wise filtering approach that relies on general characteristics of such tunnels (e.g., number of subdomains or resource record type). Using our approach on empirical data, we successfully identified 273 suspicious domains related to DNS tunnels, including two known APT campaigns (Wekby and APT32).

研究动机与目标

• 理解全球DNS生态系统中新出现主机名的分布与来源。
• 利用被动DNS数据，研究真实网络流量中DNS隧道的普遍性与特征。
• 开发一种无需依赖内部网络可见性的可扩展、全局化的DNS隧道检测方法。
• 识别并分析恶意DNS隧道活动，包括已确认的APT组织。
• 提供实证证据，证明DNS隧道是现代互联网基础设施中广泛存在且活跃的威胁。

提出的方法

• 从Farsight DNS传感器网络收集并分析了超过二十亿个新出现的完整限定域名（FQDN）。
• 采用基于DNS隧道结构与行为特征的分步过滤方法，包括每二级域名的子域名数量及资源记录类型（例如NULL、TXT）。
• 使用启发式方法，如高频率子域名和非标准记录类型（例如NULL），以标记潜在的隧道活动。
• 利用已知隧道工具（如iodine）和域名模式验证检测准确率。
• 对已确认的APT活动（Wekby和APT32）开展案例研究，以验证检测效果。
• 仅关注新出现的主机名，避免已知域名带来的偏差，从而实现对未知或零日隧道活动的检测。

实验结果

研究问题

• RQ1 全球DNS生态系统中新出现主机名的主要来源是什么？
• RQ2 DNS隧道在真实互联网流量中使用程度如何，特别是在新注册域名中？
• RQ3 能否有效利用全球传感器网络的被动DNS数据，在无内部网络可见性的情况下检测DNS隧道？
• RQ4 在真实环境中，哪些DNS隧道工具和基础设施最为普遍？
• RQ5 能否通过分析新出现的主机名和DNS隧道模式，检测到已知APT活动？

主要发现

• 仅有三个二级域名——Google的AMP、Spotify以及一家DNS隧道提供商——每日生成超过一半的新出现主机名。
• 几乎所有资源记录类型为NULL的DNS请求均归因于DNS隧道，表明NULL查询是隧道活动的强烈指标。
• 超过三分之一（35%）的TXT记录请求与DNS隧道相关，凸显TXT记录在隐蔽通信中的广泛使用。
• 本研究识别出273个可能用于DNS隧道的可疑域名，其中最普遍的工具是iodine。
• 大量DNS隧道流量可追溯至德国的yourfreedom.com服务提供商，表明存在集中化的隧道基础设施。
• 案例研究证实数据集中存在已知APT活动（Wekby和APT32），表明DNS隧道在高级持续性攻击中仍是活跃且持续的威胁。