DeepDGA

Viele Malware-Familien nutzen Domain-Generierungsalgorithmen (DGAs), um Verbindungen für Kommando und Kontrolle (C&C) herzustellen. Während es viele Methoden gibt, um pseudowillkürlich Domains zu generieren, konzentrieren wir uns in diesem Papier auf die Erkennung (und Generierung) von Domains auf einer pro-Domain-Basis, was ein einfaches und flexibles Mittel zur Erkennung bekannter DGA-Familien bietet. Neuere Ansätze des maschinellen Lernens zur DGA-Erkennung waren bei relativ simplen DGAs erfolgreich, von denen viele Namen fester Länge produzieren. Modelle, die auf begrenzten Datensätzen trainiert wurden, sind jedoch etwas blind gegenüber neuen DGA-Varianten. In diesem Papier nutzen wir das Konzept der generativen adversarialen Netzwerke, um ein DGA zu konstruieren, das auf Deep Learning basiert und dazu gedacht ist, absichtlich einen auf Deep Learning basierenden Detektor zu umgehen. In einer Reihe adversarialer Runden lernt der Generator, Domainnamen zu generieren, die zunehmend schwieriger zu erkennen sind. Im Gegenzug aktualisiert ein Detektormodell seine Parameter, um die adversarial generierten Domains auszugleichen. Wir testen die Hypothese, ob adversarial generierte Domains genutzt werden können, um Trainingssets zu erweitern, um andere Modelle des maschinellen Lernens gegen bisher unbeobachtete DGAs zu härten. Wir beschreiben Lösungen für mehrere Herausforderungen beim Training dieses zeichenbasierten generativen adversarialen Netzwerks. Insbesondere beginnt unsere Deep Learning-Architektur als ein Domain-Name-Autoencoder (Encoder + Decoder), der auf Domains in den Alexa eine Million trainiert wird. Danach werden der Encoder und der Decoder wettbewerblich in einem generativen adversarialen Netzwerk (Detektor + Generator) wieder zusammengesetzt, mit neuartigen neuronalen Architekturen und Trainingsstrategien zur Verbesserung der Konvergenz.