Descoberta de botnets por meio de análise de tráfego DNS

Resumo

Algumas botnets utilizam de técnicas de endereçamento dinâmico como ip-flux e domain-flux para a comunicação entre os bots e o servidor de comando e controle, tornando-as assim mais robustas para a operação, e consequentemente mais difíceis para a detecção. Este artigo detalha um método para realizar a detecção de botnets através da análise do trafego DNS junto com a engenharia reversa de código malicioso. O método é um conjunto de procedimentos que devem ser seguidos para a obtenção de hosts caracterizados como bots. São apresentados dois estudos de caso que obtiveram êxito com a aplicação deste método.