DGA Detection Forensics

Définition

La détection des DGA (Domain Generation Algorithms) est une technique forensique et de threat hunting permettant d'identifier les malwares qui génèrent algorithmiquement des domaines aléatoires pour contacter leur C2. Les DGA permettent aux malwares de maintenir des communications C2 robustes : même si des domaines C2 sont bloqués, le malware génère d'autres domaines selon l'algorithme, et l'attaquant n'a qu'à enregistrer l'un des domaines valides du jour pour reprendre le contrôle. Le fonctionnement des DGA est relativement simple conceptuellement : à partir d'une graine (seed) — souvent la date courante pour permettre la synchronisation avec le C2 — et d'un algorithme pseudo-aléatoire, le malware génère une liste de domaines candidates (souvent des centaines ou milliers par jour). Ces domaines sont des séquences de caractères pseudo-aléatoires qui peuvent paraître à des noms légitimes mais sont générés algorithmiquement. Le malware essaie chaque domaine jusqu'à en trouver un résolu (enregistré par l'attaquant). Dans les logs DNS forensiques, une activité DGA produit un pattern caractéristique : de nombreuses requêtes DNS NXDOMAIN (domaine inexistant) vers des domaines à forte entropie ou à faible signification sémantique, concentrées dans de courtes fenêtres temporelles. Des exemples de domaines DGA typiques : xkqhsjdnbck.ru, 7f3h9ks2p.net — des séquences sans signification linguistique. Les techniques de détection de DGA incluent l'analyse d'entropie (Shannon entropy élevée pour les domaines DGA vs faible pour les domaines légitimes), les modèles NLP (Natural Language Processing) qui mesurent la 'plausibilité linguistique' d'un domaine, les algorithmes de clustering qui regroupent les domaines similaires (les DGA produisent des clusters caractéristiques), et les bases de données de DGA connus (DGAdetect, Johannes Bader's DGA.PT). Des malwares connus utilisant les DGA incluent Conficker, Cryptolocker, Locky, Zeus/Gameover, et de nombreux RATs. Chaque DGA a ses caractéristiques propres (longueur des domaines, charset utilisé, TLDs préférés, période de renouvellement) qui permettent parfois d'identifier le malware par son algorithme DGA.