DomainGenerationAlgorithmen

DomainGenerationAlgorithmen, im Deutschen oft als Domain-Generierungsalgorithmen bezeichnet, sind Mechanismen, die von Schadsoftware verwendet werden, um eine große Anzahl potenzieller Domainnamen zu erzeugen, über die ein Command-and-Control-Server erreichbar bleibt. Durch deterministische Generierung, oft aus einem Startwert oder Schlüssel abgeleitet, ermöglichen sie dem Angreifer, die C2-Kommunikation auch bei Blockaden einzelner Domains aufrechtzuerhalten.

Funktionsprinzipien: Ein DGA nutzt in der Regel einen Seed oder Schlüssel, aus dem mithilfe von pseudorandomisierten Algorithmen, Datum oder Zeit, Hash-Funktionen oder Wörterbuchlisten eine Liste von Domains erzeugt wird. Die Malware versucht in einem definierten Zeitraum nacheinander Domains aus dieser generierten Menge zu erreichen. Da die Domains oft nur kurze Zeitfenster bestehen, erschwert dies dynamische Blocklisten und takedowns.

Typen und Variationen: Zu den gängigen Formen zählen datum- oder zeitbasierte DGAs, die Domains in festgelegten Intervallen ändern, sowie wortlistenbasierte oder hybride Ansätze, die aus Statistiken, Lexika und Zufallselementen Domains kombinieren. Moderne DGAs können mehrere Generationen pro Tag verwenden oder unvorhersehbare Muster erzeugen.

Auswirkungen und Verteidigung: DGAs erhöhen die Ausfallsicherheit von Botnets gegen Domain-Blockaden. Verteidigung umfasst Netzwerkbeobachtung, Erkennung verdächtiger DNS-Patterns, sinkholing, takedown-Strategien und maschinelles Lernen zur Unterscheidung legitimer von generierten Domains. Historisch bekannt sind DGAs aus Varianten des Conficker-Botnets sowie späteren Angriffswellen wie Zeus/Gamar Zeus-Familien.

Siehe auch: Malware, Botnetze, DNS, Command and Control.