Technique employée par les logiciels malveillants pour générer automatiquement et dynamiquement un grand nombre de noms de domaine qui serviront de canaux de commande et contrôle, rendant le blocage de l'infrastructure pratiquement impossible.
Un algorithme de génération de domaines est une fonction déterministe, souvent secrète, intégrée dans un logiciel malveillant, qui produit chaque jour une liste de centaines ou de milliers de noms de domaine à partir d'une graine, typiquement la date du jour. L'attaquant n'a qu'à enregistrer le domaine qu'il choisit d'activer parmi les milliers générés, tandis que le logiciel malveillant tente de se connecter à chacun d'eux jusqu'à trouver celui qui répond. La technique a été popularisée par le botnet Conficker en 2008, qui générait jusqu'à 50 000 domaines par jour, paralysant les tentatives de blocage en avance des autorités. Depuis, des variantes de DGA ont été identifiées dans des dizaines de familles de logiciels malveillants majeures. Pour les défenseurs, la contre-mesure naturelle est la prédiction : si l'algorithme est connu ou déduit par reverse engineering, il est possible de calculer à l'avance la liste complète des domaines futurs et de les bloquer proactivement, ce qu'ont fait les chercheurs de sécurité lors de la lutte contre Conficker. L'analyse du trafic DNS est désormais un vecteur de détection standard dans les SIEM : les requêtes vers des domaines au caractère aléatoire élevé et à faible prévalence historique constituent un signal fort de présence de DGA. Pour la threat intelligence, la reconnaissance d'une famille de DGA permet d'attribuer un incident à un groupe connu et de prédire ses autres cibles potentielles.
Lors de l'analyse d'un réseau bancaire infecté, les analystes identifient dans les logs DNS une série de requêtes vers des domaines de 24 caractères aléatoires avec TLD .top, sans réponse. Le pattern est reconnu comme signature du DGA de la famille Dridex. L'extraction de la graine de l'échantillon permet de calculer l'ensemble des domaines du mois et d'alerter proactivement les autres clients de la banque.
DGA, domain generation algorithm, génération automatique de domaines, algorithme de génération de domaines