Algorithme de génération de domaines (DGA)

Définition

L'algorithme de génération de domaines, désigné par l'acronyme anglais DGA pour Domain Generation Algorithm, désigne une technique utilisée par des familles de logiciels malveillants pour générer dynamiquement un grand nombre de noms de domaine potentiels de commande et contrôle à partir d'une valeur d'amorce partagée, souvent dérivée de la date courante, plutôt que de coder en dur une liste fixe et facilement bloquable de domaines de commande et contrôle. L'implant génère quotidiennement ou à intervalle régulier des centaines voire des milliers de noms de domaine candidats et tente de les résoudre successivement, l'attaquant n'ayant besoin d'enregistrer et d'activer qu'un seul de ces domaines à un instant donné pour établir la communication, rendant le blocage par liste noire statique largement inefficace puisque le domaine réellement actif change fréquemment et de manière imprévisible sans connaître l'algorithme exact utilisé. Cette technique complique considérablement le travail des équipes défensives et des fournisseurs de renseignement sur les menaces, qui doivent soit rétro-ingénierier l'algorithme spécifique de chaque famille malveillante pour prédire les domaines futurs, soit détecter le comportement révélateur plutôt que la destination précise. Pour les équipes défensives, la détection repose sur l'identification du volume anormalement élevé de requêtes de résolution DNS échouées émises par un même hôte en peu de temps, un motif rarement observé dans un trafic légitime et fortement révélateur d'un algorithme de génération de domaines en cours d'exécution.