Fast Flux DNS Detection Forensics

Définition

La détection du Fast Flux est une technique forensique et de threat hunting permettant d'identifier des infrastructures malveillantes utilisant la rotation rapide d'adresses IP pour leurs domaines C2 ou de phishing, afin de rendre plus difficile leur blocage et le suivi par les défenseurs. Le Fast Flux est une technique d'évasion DNS utilisée par les botnets, les services de phishing-as-a-service, et les acteurs APT sophistiqués. En Fast Flux simple (Single Flux), le nom de domaine malveillant est associé à une longue liste d'adresses IP (les 'flux agents', souvent des machines compromises du botnet servant de proxies) avec un TTL DNS très court (60 secondes typiquement). Chaque résolution DNS retourne un sous-ensemble différent de ces IPs, et les flux agents transmettent le trafic vers l'infrastructure C2 réelle cachée derrière. Cela rend le blocage par IP inefficace : bloquer une IP revient à bloquer 1 flux agent parmi des milliers. En Double Flux (Double Flux), à la fois les enregistrements A (adresses IP) et les enregistrements NS (serveurs de noms) du domaine changent rapidement, rendant encore plus difficile la prise en compte par les défenseurs : même les serveurs DNS autoritaires pour le domaine changent continuellement. Les indicateurs forensiques du Fast Flux dans les logs DNS incluent : un TTL très court (< 300 secondes, souvent 60 secondes) pour le domaine suspect, une résolution retournant des IPs différentes à chaque requête (observable en répétant la résolution DNS), les IPs retournées appartenant à des ASN variés et géographies différentes (caractéristique des proxies botnet répartis mondialement), et un ratio élevé de changements d'IP par unité de temps. Les outils de détection du Fast Flux combinent l'analyse du TTL DNS, la surveillance des changements d'enregistrements dans le temps (historical DNS), et la corrélation géographique des IPs retournées pour scorer la probabilité qu'un domaine soit un service Fast Flux.