[论文解读] Tracking and Characterizing Botnets Using Automatically Generated Domains

Stefano Schiavoni, Federico Maggi+2 more|arXiv (Cornell University)|Nov 21, 2013

Network Security and Intrusion Detection参考文献 19被引用 14

一句话总结

该论文提出Phoenix系统，一种保护隐私的机制，仅通过被动的递归级DNS流量和少量恶意域名列表，即可识别并追踪基于DGA的僵尸网络。通过结合语言学特征与IP特征，Phoenix能够检测自动生成的域名（AGD），按其底层DGA进行分组，并以94.8%的准确率自动识别出此前未知的C&C域名。

ABSTRACT

Modern botnets rely on domain-generation algorithms (DGAs) to build resilient command-and-control infrastructures. Recent works focus on recognizing automatically generated domains (AGDs) from DNS traffic, which potentially allows to identify previously unknown AGDs to hinder or disrupt botnets' communication capabilities. The state-of-the-art approaches require to deploy low-level DNS sensors to access data whose collection poses practical and privacy issues, making their adoption problematic. We propose a mechanism that overcomes the above limitations by analyzing DNS traffic data through a combination of linguistic and IP-based features of suspicious domains. In this way, we are able to identify AGD names, characterize their DGAs and isolate logical groups of domains that represent the respective botnets. Moreover, our system enriches these groups with new, previously unknown AGD names, and produce novel knowledge about the evolving behavior of each tracked botnet. We used our system in real-world settings, to help researchers that requested intelligence on suspicious domains and were able to label them as belonging to the correct botnet automatically. Additionally, we ran an evaluation on 1,153,516 domains, including AGDs from both modern (e.g., Bamital) and traditional (e.g., Conficker, Torpig) botnets. Our approach correctly isolated families of AGDs that belonged to distinct DGAs, and set automatically generated from non-automatically generated domains apart in 94.8 percent of the cases.

研究动机与目标

• 为应对使用域名生成算法（DGAs）以逃避检测的小型、顽固型僵尸网络的追踪挑战。
• 克服现有DGA检测方法的局限性，这些方法需要低层级流量传感器、恶意软件样本或客户端IP可见性。
• 仅使用公开的被动DNS数据，实现保护隐私、可重复且可扩展的僵尸网络追踪。
• 自动根据其底层DGA对AGD进行分组，并为僵尸网络演化和C&C行为提供新的洞察。
• 在无需逆向工程的情况下，识别出此前未知的AGD，并将其正确归类至对应僵尸网络家族。

提出的方法

• Phoenix使用在良性域名上训练的语言学模型，检测指示自动生成域名（AGD）的异常模式。
• 基于域名到IP的解析模式对域名进行分组，以识别对应于单个僵尸网络的逻辑聚类。
• 从每个聚类中提取通用指纹，用于将新域名标记为属于特定DGA型僵尸网络。
• 结合语言学特征（如字符频率、n-gram模式）与IP特征（如IP聚类、解析模式），以提升检测的鲁棒性。
• 该方法采用无监督方式运行，避免对标注训练数据或恶意软件逆向工程的需求。
• Phoenix利用来自递归解析器的被动DNS数据，确保隐私和可扩展性，且无需访问客户端IP。

实验结果

研究问题

• RQ1 仅使用被动DNS数据和语言学特征，能否可靠地区分AGD与人工生成的域名？
• RQ2 能否基于域名到IP的解析模式，自动将AGD聚类为对应于单个僵尸网络的逻辑集群？
• RQ3 Phoenix能否在事先不了解DGA的情况下，检测出此前未知的AGD并将其正确归类至僵尸网络家族？
• RQ4 Phoenix在真实DNS流量中，隔离AGD家族与非AGD的效率如何？
• RQ5 Phoenix在无需低层级网络可见性的情况下，能在多大程度上提供关于DGA演化和僵尸网络行为的可操作情报？

主要发现

• 在包含1,153,516个域名的数据集中，Phoenix在94.8%的案例中成功将AGD家族与非AGD区分开。
• 该系统成功检测出此前未知的AGD，并基于域名解析模式的指纹匹配，将其正确关联至对应的僵尸网络家族。
• Phoenix仅依靠被动DNS数据中的语言学与IP特征，即实现了对AGD与人工生成域名的高准确率区分。
• 该方法对IP共享和IP重用机制（如NAT和DHCP）具有鲁棒性，而这些机制可能降低其他检测方法的性能。
• 该系统已在真实环境中验证，成功将可疑域名标记为Conficker.B僵尸网络的一部分。
• Phoenix在无需恶意软件样本或客户端IP数据的情况下，提供了关于DGA演化的新颖且可操作的情报，包括僵尸网络迁移和C&C基础设施变更。