Algoritmo de generacion de dominios (DGA).

Un Domain Generation Algorithm es codigo embebido en el malware que produce cientos o miles de dominios pseudoaleatorios al dia a partir de una semilla compartida —normalmente la fecha actual, a veces salada con un valor impredecible como una tendencia de Twitter o un tipo de cambio para impedir el registro anticipado. El bot y el operador ejecutan el mismo algoritmo, por lo que ambos calculan la misma lista diaria; el atacante registra solo unos pocos, mientras el bot recorre la lista hasta que uno resuelve. Este modelo de "cita" vence las listas de bloqueo estaticas, porque los defensores no pueden enumerar de antemano todos los C2 futuros, y dificulta las retiradas: incautar el dominio de hoy no afecta al de manana.

Familias reales ilustran la escala. Conficker.C generaba 50.000 dominios al dia en muchos TLDs en 2008-2009, lo que motivo una coalicion sin precedentes (el Conficker Working Group) para pre-registrarlos o bloquearlos. Gameover Zeus recurria a un DGA de ~1.000 dominios/dia cuando se interrumpia su capa P2P; CryptoLocker, Necurs y Murofet/Licat usaron generadores sembrados por fecha. El estudio de USENIX Security 2016 de Plohmann et al. revirtio decenas de familias DGA, mostrando la variedad de esquemas de siembra y codificacion.

Como las busquedas DGA crean una rafaga distintiva de respuestas NXDOMAIN (la mayoria de nombres generados no estan registrados), las defensas se centran en la telemetria DNS: clasificadores estadisticos o de aprendizaje automatico sobre n-gramas y entropia de dominios, correlacion con DNS pasivo, sinkholing de nuevos nombres algoritmicos y reglas EDR que detectan procesos con alto volumen de resoluciones fallidas.

flowchart TD
  S[Semilla compartida<br/>fecha + sal] --> A[DGA en el malware]
  S --> O[DGA en el operador]
  A --> L[Miles de dominios<br/>candidatos por dia]
  O --> R[El operador registra<br/>unos pocos dominios]
  L --> Q{Consulta DNS}
  Q -->|La mayoria falla| N[Rafaga de NXDOMAIN]
  Q -->|Uno resuelve| C[Conecta al servidor C2]
  N --> D[Deteccion: pico NXDOMAIN,<br/>ML n-gramas/entropia, DNS pasivo]
  C --> E[Recibe ordenes / exfiltra]
  D --> F[Sinkhole / bloqueo]