Improving the Identification of Real-world Malware's DNS Covert Channels Using Locality Sensitive Hashing
Center for Research and Technology (ZFT), University of Applied Sciences Worms（沃尔姆斯应用科学大学技术研究与应用中心）；Institute of Information Resource Management (IRM), Ulm University（乌尔姆大学信息资源管理研究所）
本文提出利用局部敏感哈希改进恶意软件DNS隐蔽通道识别，通过统计相似性特征和随机森林分类器提升检测准确性和鲁棒性。
2025-11-25 cs.CR cs.NI
Detection of Malicious and Low Throughput Data Exfiltration Over the DNS Protocol
在存在安全对策的情况下，设计用于数据泄露的恶意软件必须使用隐蔽通道来实现其目标。在现有的隐蔽通道中有域名系统（DNS）协议。虽然在过去的十年中，DNS上的隐蔽通道的检测已经得到了深入的研究，以前的研究涉及一个特定的隐蔽通道的子类，即DNS隧道。虽然隧道检测的重要性没有被削弱，但一类低吞吐量DNS渗透恶意软件仍然被忽视。本研究的目标是提出一种方法，用于检测隧道和低吞吐量的数据泄露的DNS。为此，我们提出了一个解决方案，包括一个监督特征选择方法，和一个可互换的，可调整的异常检测模型训练的合法流量。在第一步中，应用单类分类器来检测不符合正常行为的特定于域的流量。然后，在第二步中，为了减少由于尝试检测低吞吐量数据泄漏而导致的误报率，我们应用基于规则的过滤器，该过滤器过滤合法服务使用的DNS上的数据交换。我们的解决方案在中等规模的递归DNS服务器日志上进行了评估，涉及超过75，000次合法使用和近2，000次攻击。评估结果表明，虽然DNS隧道覆盖至少99%的召回率和小于0.01%的误报率，低吞吐量的渗透检测是比较困难的。虽然不能完全阻止它，但我们的解决方案在DNS语法的限制下（相当于每小时5个信用卡详细信息或10个用户凭据）限制了恶意软件试图避免检测的最多1 kb/h有效负载，这降低了攻击的有效性。
2018-06-18 cs.CR
Countering Adaptive Network Covert Communication with Dynamic Wardens
网络隐蔽信道是计算机网络中的隐蔽通信信道。它们影响着网络安全经济的几个因素。例如，通过提高僵尸网络通信的隐蔽性，它们可以帮助和保护暗网僵尸网络销售的价值。隐蔽渠道也可以用于秘密地将机密数据泄露出组织，可能导致市场/研究优势的丧失。考虑到上述情况，需要努力制定有效的反措施来对付这种威胁。因此，在本文中，介绍了新的监狱长分类的基础上，我们提出并评估了一个新的概念，一个动态监狱长。它的主要新颖之处在于随着时间的推移，监狱长的行为的修改，使它难以自适应隐蔽通信方推断其策略，并执行一个成功的隐藏数据交换。实验结果表明了该方法的有效性。
2021-02-28 cs.CR cs.NI
Detecting DNS Tunnels Using Character Frequency Analysis
高带宽隐蔽通道对公司网络内的敏感和专有信息构成重大风险。域名系统（DNS）隧道提供了一种通过网络边界秘密渗透和泄露大量信息的手段。本文通过分析DNS查询和响应中域的单字、二元和三元字符频率，探讨了检测DNS隧道的可能性。它是经验表明，如何域遵循Zipf定律在一个类似的模式，自然语言，而隧道流量具有更均匀分布的字符频率。这种方法允许跨多个域检测隧道，而以前的方法通常集中在监控点对点系统。当隧道流量与合法域流量的字符频率指纹进行比较时，可以快速发现异常。
2010-04-25 cs.CR
A Covert Data Transport Protocol
企业和国家防火墙都过滤网络连接。对于数据取证和僵尸网络清除应用程序，重要的是建立信息源。在本文中，我们描述了一个数据传输层，它允许客户端传输加密的数据，提供有关数据源没有可辨别的信息。我们使用域生成算法（DGA）将AES加密数据编码为域名，当前工具无法可靠地区分有效的域名。这些域名使用（免费）动态DNS服务注册。数据传输格式不易受到深度数据包检测（DPI）的攻击。
2017-03-07 cs.CR
A Secure Contained Testbed for Analyzing IoT Botnets
随着物联网（IoT）设备的日益广泛采用，许多安全问题已经浮出水面。Mirai对Dyn DNS服务的攻击，其中IP摄像头，DVR和路由器等易受攻击的物联网设备被感染并用于传播大规模DDoS攻击，是最近比较突出的例子之一。物联网僵尸网络由数十万个僵尸程序组成，目前至少存在于“野外”，预计未来只会增长，有可能导致网络公司严重的网络停机和经济损失。因此，我们建议建立测试平台来评估物联网僵尸网络，并针对它们设计合适的缓解技术。在这项工作中提出了一个基于DETERlab的物联网僵尸网络测试床。该测试平台构建在一个安全的封闭环境中，包括DHCP、DNS等辅助服务以及僵尸网络基础设施，包括CnC和scanListen/loading服务器。开发物联网僵尸网络测试平台给我们带来了一些独特的挑战，这些挑战与非物联网僵尸网络测试平台中遇到的挑战不同，我们在本文中重点介绍了这些挑战。此外，我们指出了我们的测试平台的重要功能，并通过实验结果说明了它的一些功能。
2019-06-17 cs.CR cs.NI
Fragmentation Considered Poisonous
我们提出了实际的中毒和名称服务器阻塞- ING攻击标准DNS解析器，由偏离路径，欺骗对手。我们的攻击利用导致IP碎片的大型DNS响应;这种长时间响应越来越常见，主要是由于使用DNSSEC。在常见的情况下，DNSSEC是部分或不正确的部署，我们的中毒攻击允许'完全'域劫持。当DNSSEC完全部署时，攻击者可以强制使用假名称服务器;我们展示了这种漏洞，允许离线流量分析和隐蔽通道。当使用NSEC 3选择退出时，攻击者还可以创建假子域，规避同源限制。我们的攻击绕过了解析器端的防御，例如，端口随机化、IP随机化和查询随机化。新的域名服务器（NS）阻塞攻击迫使解析器使用特定的域名服务器.这种攻击允许服务降级、流量分析和隐蔽通道，还有助于DNS中毒。我们使用标准解析器软件和标准DNS名称服务器和区域验证了攻击，org.
2012-05-17 cs.CR
CONDENSER: A Graph-Based Approachfor Detecting Botnets
僵尸网络是一个全球性问题，对受害者造成了巨大的经济和运营损失。它们的实现考虑到了规避，目的是隐藏它们的架构和作者，使它们通常难以检测。这类网络主要用于身份盗窃、虚拟勒索、垃圾邮件活动和恶意软件传播。僵尸网络在战争和恐怖活动中具有巨大的潜力，因此采取行动予以打击至关重要。我们提出了CONDENSER，用于识别僵尸网络活动产生的数据的方法。我们首先从几个数据源中选择适当的功能，即DNS不存在的域响应和指向我们以前下沉的命令和控制服务器的实时通信包。通过使用机器学习算法和基于图形的数据表示，然后允许识别僵尸网络活动，帮助识别异常流量，快速检测新的僵尸网络并改进跟踪已知僵尸网络的活动。我们的主要贡献有三个方面：第一，使用机器学习分类器将域名分类为由域生成算法（DGA）生成的域名;第二，使用一组选定的功能的聚类算法，将网络通信与类似的模式分组;第三，基于图的知识表示框架，我们存储处理后的数据，允许我们执行查询。
2014-10-31 cs.CR
MONDEO: Multistage Botnet Detection
University of Coimbra（科英布拉大学）；CISUC（科英布拉大学信息与系统中心）
MONDEO 是一种轻量级多阶段机制，通过黑名单、查询速率分析、DGA 分析和机器学习评估四个阶段，高效检测基于 DNS 的僵尸网络（如 FluBot），无需在移动设备上部署额外软件，并在多个数据集上以随机森林分类器取得高性能。
2023-08-31 cs.CR cs.LG
Explaining Machine Learning DGA Detectors from DNS Traffic Data
University of Cagliari（卡利亚里大学）；Pluribus One S.r.l.（Pluribus One有限责任公司）
在线系统缺乏连续性的最常见原因之一源于广泛流行的网络攻击，称为分布式拒绝服务（DDoS），其中受感染设备（僵尸网络）的网络被利用来通过攻击者的命令淹没服务的计算能力。这种攻击是通过域生成算法（DGAs）利用域名系统（DNS）技术进行的，DGAs是一种隐形连接策略，但会留下可疑的数据模式。为了发现这种威胁，在分析方面取得了进展。对于大多数人来说，他们发现机器学习（ML）是一种解决方案，可以非常有效地分析和分类大量数据。虽然ML模型表现强劲，但在决策过程中存在一定程度的模糊性。为了解决这个问题，ML的一个分支，称为可解释ML，试图打破分类器的黑盒性质，使它们可解释和人类可读。这项工作解决了僵尸网络和DGA检测背景下的可解释ML问题，据我们所知，这是第一个具体分解ML分类器在设计用于僵尸网络/DGA检测时的决策，因此提供了全局和局部解释。
2022-08-10 cs.CR cs.LG
DNS Covert Channel Detection via Behavioral Analysis: a Machine Learning Approach
aizoOn Technology Consulting（艾佐恩技术咨询公司）
由于网络的高度异质性，在合法流量中检测隐蔽信道是一个严峻的挑战。因此，我们提出了一种有效的隐蔽通道检测方法，基于分析的DNS网络数据被动提取的网络监控系统。该框架是基于一个机器学习模块和提取特定的异常指标，能够描述手头的问题。本文的贡献是双重的：（i）机器学习模型包含针对网络用户而不是针对单个查询事件定制的网络配置文件，因此允许创建行为配置文件并发现与正常基线的可能偏差;（ii）以无监督模式创建模型，从而允许识别零日攻击并避免对新变体的签名或密码学的要求。在为期15天的实验会话中，对所提出的解决方案进行了评估，注入了涵盖最相关的渗透和隧道攻击的流量：检测到了所有恶意变体，同时在同一时期产生了较低的误报率。
2020-10-04 cs.CR cs.LG cs.NI
Detecting Malicious Domains Using Statistical Internationalized Domain Name Features in Top Level Domains
域名系统（DNS）是将域名转换为IP地址的核心Internet服务。它是一个分布式数据库和协议，有许多已知的弱点，受到无数的攻击，包括欺骗攻击，僵尸网络和域名注册。尽管如此，安全和隐私之间的争论仍在继续，即DNS over TLS或HTTP，以及缺乏采用DNS安全扩展，使用户处于危险之中。因此，域名的安全性和恶意网站的特征正在成为优先事项。分析了恶意域名与正常域名的区别，并利用Python语言提取了各种恶意域名的识别特征。此外，本文还提供了支持国际化域名的两类功能，并使用五种工具扫描域名系统，对其进行评级。随机森林分类器的总体准确率为95.6%。
2022-11-15 cs.CR
A Study of Newly Observed Hostnames and DNS Tunneling in the Wild
域名系统（DNS）是互联网的重要支柱，每天都有数百万个新域名被创建。虽然这些域名中的绝大多数都是合法的，但攻击者也会注册新的主机名来执行恶意目的，例如诈骗、网络钓鱼或其他类型的攻击。在本文中，我们提出的见解DNS的全球利用率通过测量研究检查专门通过被动DNS数据分析新观察到的主机名。我们分析了在两个月内收集的超过20亿个此类主机名。令人惊讶的是，我们发现只有三个二级域名负责每天所有新观察到的主机名的一半以上。更具体地说，我们发现谷歌的加速移动页面（AMP）项目，音乐流媒体服务Spotify和DNS隧道提供商生成了互联网上的大多数新域名。DNS隧道是一种隐蔽通道技术，通过DNS查询和应答在DNS上传输任意信息。这种技术通常被攻击者用来以一种隐秘的方式传输数据，绕过传统的网络安全系统。我们发现，潜在的DNS隧道会导致全球DNS请求的一个重要部分新的主机名：我们的分析表明，几乎所有的资源记录类型NULL请求和超过三分之一的所有TXT请求可以归因于DNS隧道。受这些经验测量结果的启发，我们提出并实现了一种方法，通过逐步过滤方法来识别DNS隧道，该方法依赖于这种隧道的一般特性（例如，子域数或资源记录类型）。使用我们的经验数据方法，我们成功识别了273个与DNS隧道相关的可疑域名，包括两个已知的APT活动（Wekby和APT32）。
2019-02-22 cs.CR
Survey and Analysis of DNS Filtering Components
本文调研了DNS过滤解析器的实现与增强技术，包括响应策略区域、威胁情报源和算法生成域检测，并指出了文献中的缺失交叉点，提出了未来设计先进过滤解析器框架的研究方向。
2024-01-08 cs.CR cs.NI
A Survey on DNS Encryption: Current Development, Malware Misuse, and Inference Techniques
本文综述了2016年以来DNS加密技术（DoT、DoH、DoQ）的发展与采用现状，系统分析了恶意软件如何滥用加密DNS进行僵尸网络通信和数据外泄，并总结了从加密DNS流量中推断正常模式与检测恶意流量的现有方法，为未来提升DNS加密性能与安全性指明研究方向。
2022-07-08 cs.CR cs.NI
DNS Tunneling: Threat Landscape and Improved Detection Solutions
Cyber Security and Privacy Research Lab., SPFLab（网络安全与隐私研究实验室，SPFLab）；Faculty of Computer and Informatics Engineering（计算机与信息工程学院）；Istanbul Technical University（伊斯坦布尔技术大学）
针对传统方法难以准确检测隐藏在合法流量中的DNS隧道问题，提出一种结合机器学习算法并提取DNS流量特征进行分析的新方法，实验证明其能准确检测DNS隧道。
2025-07-14 cs.CR cs.LG cs.NI
DNS-GT: A Graph-based Transformer Approach to Learn Embeddings of Domain Names from DNS Queries
本文提出DNS-GT模型，通过基于Transformer的方法从DNS查询序列中学习域名嵌入，提升网络入侵检测系统的性能。
2026-03-11 cs.CR cs.LG
Whac-A-Mole: Six Years of DNS Spoofing
DNS在互联网上几乎所有的交互中都很重要。所有大型DNS运营商都使用IP任播，从多个物理位置通告BGP中的服务器，以减少客户端延迟并提供容量。然而，DNS很容易被欺骗：第三方拦截并响应用于良性或恶意目的的查询。对于使用任播的服务来说，欺骗是特别危险的，因为服务已经从多个来源宣布。在本文中，我们描述了识别DNS欺骗的方法，推断正在使用的机制，并从历史数据中识别欺骗的组织。我们的方法可以检测到明显的欺骗和一些隐藏的延迟答案，尽管一个非常勤奋的对抗性欺骗可以隐藏。我们使用这些方法从数千个有利位置研究了超过六年的根DNS服务器数据。我们发现，今天的欺骗是罕见的，只发生在约1.7%的观察。然而，DNS欺骗的速度在不到七年的时间里翻了一番多，而且在全球范围内都有发生。最后，我们使用来自B-Root DNS的数据来验证我们的欺骗检测方法，显示出超过0.96的真阳性率。B-Root证实了DNS注入和代理都会发生欺骗，但代理几乎占了我们看到的所有欺骗。
2020-11-25 cs.CR cs.NI
Domainator: Detecting and Identifying DNS-Tunneling Malware Using Metadata Sequences
Worms University of Applied Sciences（沃尔姆斯应用科技大学）；Ulm University（乌尔姆大学）
针对现有DNS隧道恶意软件检测的不足，提出Domainator方法，基于元数据序列模式分析，不依赖易篡改特征即可检测识别恶意软件、推断其行为，经7类样本验证有效并完成同类方法对比。
2025-05-28 cs.CR cs.NI
Open SESAME: Fighting Botnets with Seed Reconstructions of Domain Generation Algorithms
Fraunhofer FKIE（弗劳恩霍夫通信、信息处理与人体工程学研究所）
许多僵尸网络的一个重要方面是它们使用域生成算法（DGAs）生成伪随机域名的能力。网络犯罪分子可以注册这样的域名，以建立定期变化的与机器人的会合点。DGAs使用种子来生成域集合。种子可以很容易地改变，以便在使用相同的底层算法的同时生成全新的域组。虽然这对对手来说只需要很少的手动工作，但安全专家通常必须手动对新的恶意软件菌株进行逆向工程以重建种子。只有当种子和DGA是已知的，过去和未来的域可以生成，有效地归因，阻止，下沉或用于取下。文献中常见的计数器由数据库或基于机器学习（ML）的检测器组成，以分别跟踪已知DGA的过去和未来域并识别DGA生成的域名。然而，基于数据库的方法不能检测由新的DGA生成的域，并且ML方法不能生成未来的域名。在本文中，我们将介绍SEMPERT，一个系统，结合了上述两种方法，并包含一个自动种子重建模块，这是，据我们所知，第一个同类。它用于自动分类域名，评价其新颖性，并确定底层DGA的种子。SESearchTM由多个特定于DGA的种子重建器组成，设计为纯粹基于域名工作，因为它们可以通过观察网络流量轻松获得。我们在20.8千兆字节的DNS查找上评估了我们的方法。因此，我们确定了17个DGA，其中4个是我们全新的。
2023-01-12 cs.CR cs.LG
The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
IIIT Delhi（印度信息技术学院德里分校）
首次对Android恶意软件生态系统中隐蔽信道（CC）的使用进行纵向研究，通过静态和动态分析结合的多阶段流水线分析350万恶意APK，发现CC使用率从2012年的0.30%增长到2025年的50%，并揭示了CC使用的演变模式。
2026-06-12 cs.CR cs.NI
Exploiting Statistical and Structural Features for the Detection of Domain Generation Algorithms
如今，恶意软件活动已经达到了高度的复杂性，这要归功于在传统协议和服务上使用加密和隐蔽通信渠道。在这方面，规避僵尸网络识别和拆除机制的典型方法是通过使用域生成算法（DGAs）来使用域迁移。这些算法产生了大量的域名，受感染的设备试图与之通信以找到命令和控制服务器，但实际上只有一小部分被注册。由于域名的数量很大，黑名单方法变得毫无用处。因此，僵尸主控器可能动态地枢转控制并阻碍僵尸网络检测机制。为了解决这个问题，许多安全机制产生了尝试基于域名的随机性从DGA识别域的解决方案。在这项工作中，我们探索难以检测的DGA家族，因为它们被构建为绕过这些机制。更准确地说，它们是基于字典的使用，所以域似乎是用户生成的。因此，对应的生成的域通过许多过滤器，这些过滤器寻找例如高熵字符串。为了应对这一挑战，我们提出了一种准确有效的概率方法来检测它们。我们通过大量的实验测试和验证所提出的解决方案，其中包含所有基于单词列表的DGA家族，这些家族表现出这种行为，并将其与其他最先进的方法进行比较，实际上显示了我们建议的有效性和普遍性。
2021-01-22 cs.CR
Fast Flux Service Network Detection via Data Mining on Passive DNS Traffic
在过去的十年中，使用快速流量技术已经成为在快速流量服务网络（FFSN）中组织僵尸网络的常见做法，FFSN是能够以非常高的可用性维持非法在线服务的平台。在本文中，我们报告了一个有效的快速流量检测算法的基础上被动分析的域名系统（DNS）的企业网络流量。所提出的方法是基于近实时识别不同的度量，测量范围广泛的快速通量的关键功能的度量相结合，通过一个简单但有效的数学和数据采掘的方法。在企业网上进行了为期一个月的实验，对所提出的解决方案进行了评估，注入了与不同恶意软件活动相关的pcap，这些恶意软件活动利用FFSN并涵盖了各种攻击场景。对快速通量域列表的深入分析证实了所提出算法中使用的度量的可靠性，并允许识别许多IP，这些IP原来是两个臭名昭著的FFSN的一部分，即Dark Cloud和SandiFlux，因此我们对其进行了描述。所有的快通量域检测到一个非常低的假阳性率，与以前的作品的性能指标的比较显示出显着的改善。
2018-09-18 cs.CR cs.NI stat.AP
PASSVM: A Highly Accurate Online Fast Flux Detection System
快速流量服务网络（FFSN）被对手用来实现一个高弹性的技术，他们的恶意服务器，同时保持他们隐藏的直接存取。在这种技术中，大量的僵尸网络机器，被称为流量代理，作为代理来中继终端用户和恶意主机服务器之间的流量，该主机服务器由对手控制。已经提出了用于检测FFSN的各种机制。这种机制依赖于收集大量的DNS流量跟踪，并需要大量的时间来识别快速流量域。在本文中，我们提出了一种有效的基于人工智能的在线快速通量检测系统，该系统可以对快速通量域进行高度准确和非常快速的检测。所提出的系统，称为PASSVM，是基于与给定的域名的DNS响应消息相关联的功能。该方法依赖于存储在两个本地数据库中的特征，以及从响应DNS消息本身提取的特征。数据库中的信息来自Censys搜索引擎和IP地理定位服务。PASSVM的评估使用三种类型的人工神经网络，它们是：多层感知器（MLP），径向基函数网络（RBF），和支持向量机（SVM）。实验结果表明，基于RBF核的SVM方法的检测准确率为99.557%，检测时间小于18 ms，优于其他两种方法。
2020-06-05 cs.CR cs.NI
Hydras and IPFS: A Decentralised Playground for Malware
现代恶意软件可以采取各种形式，并且在其渗透，持久性，通信和隐藏能力方面已经达到了非常高的复杂程度。在公共和广泛使用的协议和服务上使用密码学和隐蔽通信信道正在成为一种规范。在这项工作中，我们首先介绍资源标识符生成算法。这些是一种名为域生成算法（DGA）的知名机制的扩展，网络犯罪分子经常使用这种机制进行机器人管理和通信。我们的扩展允许在DNS之外使用其他协议。更具体地说，我们展示了星际文件系统（IPFS）的开发。这是一个“永久网络”的解决方案，它享有稳定增长的社区兴趣和采用。此外，IPFS是区块链存储最突出的解决方案之一。我们超越了使用IPFS托管恶意内容的简单案例，并探索了僵尸主机可以使用它来管理她的机器人的方法，并通过实验验证了我们的发现。最后，我们讨论了我们的恶意软件作者的方法的优点，它的有效性，并强调其可扩展性的其他分布式存储服务。
2020-01-23 cs.CR
Domain-Embeddings Based DGA Detection with Incremental Training Method
基于域生成算法的僵尸网络利用域生成算法（DGAs）逃避监管，已成为网络安全最具破坏性的威胁之一。在过去的几十年里，出现了大量的防御机制，重点是域特征来解决这个问题。然而，由于互联网流量的大数据性质以及仅从域名提取的语言特征是不够的并且敌人可以容易地伪造它们来干扰检测的潜在事实，DGA检测仍然是一项艰巨且具有挑战性的任务。在本文中，我们提出了一种新的DGA检测系统，采用增量词嵌入方法来捕获终端主机和域之间的交互，表征每个IP地址的DNS查询的时间序列模式，从而探索域之间的时间相似性。我们仔细修改了Word2Vec算法，并利用它来自动学习超过190万个域的动态和判别特征表示，并开发了一个简单的分类器，用于区分恶意域和良性域。由于能够识别域的时间模式和增量更新模型，所提出的计划使适应DGA域的变化和发展战略的进展。我们的系统进行了评估，并与最先进的系统FANCI和两种深度学习方法CNN和LSTM进行了比较，数据来自一个大型大学的网络称为TUNEL。结果表明，我们的系统优于强大的竞争对手的多个指标的大幅度提高，同时实现了显着的模型更新速度。
2020-09-21 cs.CR
