search

360netlab / DGA

Suspicious DGA from PDNS and Sandbox.
MIT License
182 stars 35 forks source link

请问根据什么编写的py文件 #58

Open leezp opened 3 years ago

leezp commented 3 years ago

请问根据什么编写的py文件 ？ seed 是如何收集的？ 逆向得到的seed吗？

这里py的脚本就是黑客真实使用的dga算法吗

suqitian commented 3 years ago

py文件是根据样本逆向时找到的DGA模块，用python语言重现该模块功能形成的文件。 seed的收集主要依赖样本库和PDNS数据库，大部分是逆向得到的seed，少部分是通过暴力破解得到。

是真实使用的DGA，也就是说，手动执行py脚本得到的域名列表，和样本感染后往外请求的域名列表会完全吻合。 监控网络的DNS请求，如果有客户端访问了该列表的多个域名，大概率（注意，不是百分之百）就是感染了这个家族的病毒。

leezp commented 3 years ago

感谢！！！ 国外也有个类似的dga 生成程序集 https://github.com/baderj/domain_generation_algorithms/