DGA Nedir? Zararlı Yazılımlar Alan Adlarını Nasıl Üretir?

DGA (Domain Generation Algorithm — alan adı üretme algoritması), zararlı yazılımın komuta-kontrol (C2) sunucusuna ulaşmak için sabit bir adres yerine, belirli bir algoritmayla her gün yüzlerce hatta binlerce yeni alan adı üretmesini sağlayan tekniktir. Amaç basittir: tek bir alan adı kara listeye alınabilir veya kapatılabilir; ama her gün değişen binlerce aday adres, klasik engelleme yöntemlerini etkisiz bırakır.

DGA neden ortaya çıktı?

Erken dönem zararlı yazılımlar, C2 sunucularının adresini kodun içine sabit olarak gömerdi. Savunma tarafı bu adresleri tespit edip engelleyince veya alan adına el koyunca botnet'in tamamı sahipsiz kalıyordu. DGA bu tek hata noktasını ortadan kaldırmak için geliştirildi ve Conficker, Necurs gibi büyük botnet'lerle yaygınlaştı. Bugün fidye yazılımı aileleri dahil birçok modern zararlı yazılım DGA türevleri kullanır.

DGA nasıl çalışır?

1. Ortak tohum (seed): Zararlı yazılım ve saldırgan, aynı algoritmayı ve aynı başlangıç değerini kullanır. Tohum çoğunlukla tarihtir; bazı aileler döviz kuru veya sosyal medya verisi gibi öngörülmesi zor tohumlar da kullanmıştır.
2. Üretim: Algoritma her gün yeni bir aday listesi üretir: `qkxvbd73h.com`, `mpa2tr9wq.net` gibi görünüşte rastgele yüzlerce alan adı.
3. Buluşma: Saldırgan, listedeki adaylardan yalnızca birkaçını önceden kaydeder. Zararlı yazılım adayları sırayla sorgular; kayıtlı olana ulaştığında C2 bağlantısı kurulur.
4. Süreklilik: Savunma tarafı bugünün alan adını engellese bile, yarın üretilen yeni liste ile bağlantı yeniden kurulur.

Bu mekanizmanın DNS'teki yan etkisi belirgindir: adayların büyük çoğunluğu kayıtlı olmadığı için, enfekte cihaz çok sayıda NXDOMAIN (var olmayan alan adı) yanıtı alır. Bu iz, DGA tespitinin en güçlü sinyallerinden biridir.

DGA alan adları nasıl tespit edilir?

Sözlük ve imza yaklaşımı

Bilinen DGA ailelerinin algoritmaları tersine mühendislikle çözülüp üretilecek alan adları önceden hesaplanabilir. Bilinen aileler için etkilidir; yeni veya değiştirilmiş algoritmalarda geç kalır.

İstatistiksel ve dilbilimsel analiz

DGA üretimi alan adları, insan eliyle seçilmiş adlardan ölçülebilir biçimde ayrışır:

• Yüksek entropi: Karakter dağılımı rastgeleliğe yakındır; telaffuz edilebilir hece yapısı yoktur.
• N-gram anomalisi: Harf ikilileri ve üçlülerinin dağılımı doğal dildekiyle örtüşmez.
• Uzunluk ve yapı kalıpları: Aynı ailenin ürettiği adlar benzer uzunluk ve karakter kümesi kullanır.

Davranışsal bağlam

Alan adının kendisi kadar sorgulanma biçimi de bilgi taşır: yeni kaydedilmiş olması, kısa TTL, tek cihazdan gelen yoğun NXDOMAIN serisi ve sorguların zamanlaması birlikte değerlendirildiğinde yanlış alarm oranı ciddi biçimde düşer. Bu bütüncül analiz, DNS tünelleme tespitiyle aynı altyapıyı paylaşır.

Makine öğrenmesi

Modern tespit, bu sinyallerin tamamını özellik olarak kullanan sınıflandırıcılarla yapılır. Kritik tasarım sorusu modelin nerede çalıştığıdır: bulutta çalışan model, kurumun DNS sorgularının analiz için dışarı gönderilmesini gerektirir; kurum içinde çalışan model ise aynı tespiti veri kurum dışına çıkmadan yapar.

DGA tespit edilince ne yapılmalı?

1. Alan adını ve aileyi engelleyin: Tek alan adı değil, tespit edilen kalıba uyan sorgular engellenmelidir; aksi halde yarınki üretim engeli aşar.
2. Kaynak cihazı bulun: DGA sorgusu yapan cihaz büyük olasılıkla enfektedir. Kullanıcı eşleşmesi (Active Directory) müdahaleyi dakikalara indirir.
3. Cihazı izole edin ve temizleyin: DNS engellemesi C2 bağlantısını keser ama zararlı yazılımı kaldırmaz; uç nokta müdahalesi şarttır.
4. Olayı SIEM'de ilişkilendirin: DGA tespiti, aynı cihazdan gelen diğer anomalilerle birleştirildiğinde saldırının kapsamı görünür olur.

DGA tespiti dahil DNS katmanı analizinin modüller düzeyinde nasıl çalıştığını Obsolix Platform sayfasında görebilirsiniz.

Sık sorulan sorular

DGA alan adları kara listeyle engellenemez mi?

Pratikte hayır. Algoritma günde yüzlerce yeni ad ürettiği için kara liste her zaman geride kalır. Etkili savunma, alan adının kendisine değil üretim kalıbına ve sorgu davranışına bakar.

NXDOMAIN artışı her zaman DGA mıdır?

Hayır; yazım hataları, yanlış yapılandırılmış uygulamalar ve bazı CDN davranışları da NXDOMAIN üretir. Ayrım, entropi ve zamanlama gibi sinyallerin birlikte değerlendirilmesiyle yapılır — tek metriğe dayalı sistemler yanlış alarma boğulur.

DGA yalnızca büyük botnet'lerde mi görülür?

Hayır. DGA kütüphaneleri bugün sıradan zararlı yazılım ailelerine de girmiştir; kurum büyüklüğünden bağımsız olarak her ağda karşılaşılabilir.