Algoritmo de geracao de dominios (DGA).

Um Domain Generation Algorithm e codigo embutido no malware que produz centenas ou milhares de dominios pseudoaleatorios por dia a partir de uma semente partilhada — normalmente a data atual, por vezes salgada com um valor imprevisivel como uma tendencia do Twitter ou uma taxa de cambio para impedir o registo antecipado. O bot e o operador executam o mesmo algoritmo, pelo que ambos calculam a mesma lista diaria; o atacante regista apenas alguns, enquanto o bot percorre a lista ate um resolver. Este modelo de "encontro" derrota as blocklists estaticas, porque os defensores nao conseguem enumerar antecipadamente todos os C2 futuros, e dificulta as remocoes: apreender o dominio de hoje nada faz quanto ao de amanha.

Familias reais ilustram a escala. O Conficker.C gerava 50000 dominios por dia em muitos TLDs em 2008-2009, motivando uma coligacao sem precedentes (o Conficker Working Group) para os pre-registar ou bloquear. O Gameover Zeus recorria a um DGA de ~1000 dominios/dia quando a sua camada peer-to-peer era perturbada; CryptoLocker, Necurs e Murofet/Licat usaram geradores semeados pela data. O estudo da USENIX Security 2016 de Plohmann et al. fez engenharia reversa de dezenas de familias DGA, mostrando a variedade de esquemas de semente e codificacao.

Como as consultas DGA criam uma rajada distintiva de respostas NXDOMAIN (a maioria dos nomes gerados nao esta registada), as defesas centram-se na telemetria DNS: classificadores estatisticos ou de aprendizagem automatica sobre n-gramas e entropia de dominios, correlacao com DNS passivo, sinkholing de novos nomes algoritmicos e regras EDR que assinalam processos com alto volume de resolucoes falhadas.

flowchart TD
  S[Semente partilhada<br/>data + sal] --> A[DGA no malware]
  S --> O[DGA no operador]
  A --> L[Milhares de dominios<br/>candidatos por dia]
  O --> R[O operador regista<br/>alguns dominios]
  L --> Q{Consulta DNS}
  Q -->|A maioria falha| N[Rajada de NXDOMAIN]
  Q -->|Um resolve| C[Conecta ao servidor C2]
  N --> D[Detecao: pico NXDOMAIN,<br/>ML n-gramas/entropia, DNS passivo]
  C --> E[Recebe ordens / exfiltra]
  D --> F[Sinkhole / bloqueio]