SinkMiner Mining Botnet Sinkholes for Fun and Profit Babak - - PowerPoint PPT Presentation

▶
sinkminer
SMART_READER_LITE
LIVE PREVIEW

SinkMiner Mining Botnet Sinkholes for Fun and Profit Babak - - PowerPoint PPT Presentation

Feb 24, 2023 29 likes •182 views

SinkMiner Mining Botnet Sinkholes for Fun and Profit Babak Rahbarinia 1 , Roberto Perdisci 1,2 , Manos Antonakakis 3 , David Dagon 2 1 University of Georgia 2 Georgia

slide-1
SLIDE 1

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

SinkMiner ¡

Mining ¡Botnet ¡Sinkholes ¡for ¡Fun ¡and ¡Profit ¡

Babak ¡Rahbarinia1, ¡Roberto ¡Perdisci1,2, ¡Manos ¡Antonakakis3, ¡David ¡Dagon2 ¡

1University ¡of ¡Georgia ¡ 2Georgia ¡Tech ¡InformaGon ¡Security ¡Center, ¡ ¡ ¡ ¡ ¡3Damballa ¡Labs ¡

slide-2
SLIDE 2

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Botnet ¡Sinkholes ¡

  • Sinkholes: ¡take ¡over ¡the ¡botnet! ¡

– disable ¡the ¡botnet ¡ – Enumerate ¡vicGms, ¡study ¡C&C ¡protocol, ¡etc. ¡

  • Examples ¡ ¡

– Your ¡Botnet ¡is ¡My ¡Botnet ¡(ACM ¡CCS ¡2009) ¡ – Confiker ¡Working ¡Group ¡– ¡Lessons ¡Learned ¡ – etc… ¡

C&C ¡ Sinkhole ¡

slide-3
SLIDE 3

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Queries ¡seen ¡from ¡the ¡authoritaGve ¡NS ¡for ¡the ¡C&C ¡domain ¡

SinkMiner ¡

  • Where ¡are ¡the ¡sinkholes? ¡
  • Why ¡do ¡you ¡even ¡care?!? ¡

– measuring ¡effec:ve ¡C&C ¡domain ¡lifeGme ¡

sinkhole ¡ non-­‑routable/NX ¡ tesGng ¡ C&C ¡

slide-4
SLIDE 4

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

SinkMiner ¡

  • Other ¡benign ¡reasons ¡to ¡care ¡

– Avoid ¡friendly ¡fire ¡

  • Not ¡so ¡benign ¡reasons ¡

– I ¡want ¡your ¡domain ¡blacklist! ¡

slide-5
SLIDE 5

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Mining ¡Sinkholes ¡

  • Surprisingly, ¡sinkholed ¡domains ¡o_en ¡

relocated ¡from ¡a ¡sinkhole ¡IP ¡to ¡another! ¡

– We ¡thought ¡they ¡would ¡stay ¡put! ¡

  • Idea ¡

– follow ¡the ¡evoluGon ¡of ¡sinkholed ¡domains ¡

slide-6
SLIDE 6

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

SinkMiner ¡System ¡Overview ¡

Seed ¡list ¡of ¡ sinkhole ¡IPs ¡ ¡ historic ¡ domain-­‑IP ¡ mappings ¡ Travel ¡back ¡in ¡Gme… ¡ C&C ¡IPs ¡ a_er ¡known ¡ sink ¡IPs ¡ Back ¡to ¡the ¡future! ¡ Passive ¡ DNS ¡DB ¡

  • ¡Other ¡known ¡sink ¡
  • ¡New ¡sink ¡
  • ¡Parking ¡ ¡
  • ¡NX ¡rewriGng ¡
  • ¡other? ¡
slide-7
SLIDE 7

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Preliminary ¡Labeling ¡

  • Using ¡a ¡set ¡of ¡heurisGcs: ¡

– Name ¡server ¡names ¡

  • IPs ¡resolved ¡by ¡ ¡ns1.sinkhole.ch ¡are ¡sinkholes ¡

– Also, ¡torpig-­‑sinkhole.org, ¡dns3.sinkdns.net, ¡ sinkhole-­‑00.shadowserver.org, ¡… ¡

  • IPs ¡resolved ¡by ¡ ¡nx1.dnspark.net ¡are ¡parking ¡

– Also, ¡dns1.ns-­‑park.net, ¡park1.dns.ws, ¡

  • ne.parkingservice.com, ¡… ¡
slide-8
SLIDE 8

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Preliminary ¡Labeling ¡

  • NX-­‑rewriGng ¡IPs ¡

– IPs ¡that ¡are ¡pointed ¡to ¡by ¡lots ¡of ¡non-­‑existent ¡and/

  • r ¡invalid ¡domain ¡names ¡

– Very ¡large ¡volumes ¡of ¡domains ¡

  • all ¡“invalid” ¡resoluGons ¡from ¡enGre ¡networks ¡

DNS

NX Domain www.invalid.ex ? www.invalid.ex ?

68.87.74.166

slide-9
SLIDE 9

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Preliminary ¡Labeling ¡

  • Volume ¡of ¡domains ¡per ¡IP ¡

– ObservaGon: ¡same ¡known ¡sinkhole ¡IPs ¡used ¡(in ¡ Gme) ¡to ¡take ¡down ¡lots ¡of ¡domains ¡ – HeurisGcs: ¡

  • IPs ¡pointed ¡to ¡by ¡lots ¡of ¡domains ¡are ¡probably ¡sinkholes ¡
  • Especially ¡if ¡they ¡are ¡in ¡the ¡same ¡AS ¡as ¡known ¡sinkholes ¡ ¡

Number ¡of ¡domains ¡poinGng ¡ ¡ to ¡known ¡sinkhole ¡IP ¡ (cumulaGve, ¡over ¡Gme) ¡

slide-10
SLIDE 10

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Graph-­‑based ¡Labeling ¡

. ¡. ¡. ¡ . ¡. ¡. ¡

Si2 ¡ Si1 ¡ Sin ¡

IniGal ¡known ¡sinkholes ¡ Terminal ¡known ¡sinkholes ¡

St1 ¡ St2 ¡ Stm ¡ IPx ¡ Wi1 ¡ Wi2 ¡ Win ¡ Wt1 ¡ Wt2 ¡ Wtm ¡ # ¡of ¡domains ¡ Si1 ¡-­‑-­‑> ¡IPx ¡

slide-11
SLIDE 11

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Graph-­‑based ¡Labeling ¡

. ¡. ¡. ¡ . ¡. ¡. ¡

Si2 ¡ Si1 ¡ Sin ¡

IniGal ¡known ¡sinkholes ¡ Terminal ¡known ¡sinkholes ¡

St1 ¡ St2 ¡ Stm ¡ IPx ¡ Wi1 ¡ Wi2 ¡ Win ¡ Wt1 ¡ Wt2 ¡ Wtm ¡ # ¡of ¡domains ¡ Si1 ¡-­‑-­‑> ¡IPx ¡ IPy ¡ Wxy ¡

slide-12
SLIDE 12

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

IniGal ¡Sinkholes ¡

  • 22 ¡known ¡sinkholes ¡(19 ¡different ¡ASes) ¡

– 2,945,483 ¡sinkholed ¡domains ¡form ¡passive ¡DNS ¡ – 130,901 ¡a_er ¡pruning ¡DGA ¡domains ¡

  • 39% ¡of ¡130,901 ¡domains ¡changed ¡IP ¡a_er ¡they ¡

were ¡sinkholed ¡

  • PotenGal ¡sinkholes ¡5,576 ¡
slide-13
SLIDE 13

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Preliminary ¡Labeling ¡

  • Name ¡server ¡names ¡

– 475 ¡parking ¡IPs ¡ – 15 ¡sinkhole ¡IPs ¡

  • 7 ¡NX-­‑rewriGng ¡IPs ¡
  • Popularity ¡+ ¡AS ¡name ¡

– 23 ¡highly ¡popular ¡sinkholes ¡ Expanded ¡seed ¡list ¡ from ¡22 ¡to ¡60 ¡

slide-14
SLIDE 14

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

Graph-­‑based ¡Labeling ¡

  • Graph: ¡>5k ¡nodes ¡ ¡and ¡ ¡>164k ¡edges ¡
  • 49 ¡new ¡sinkholes ¡

– 12 ¡using ¡1st ¡GDB ¡query ¡+ ¡37 ¡with ¡2nd ¡GDB ¡query ¡

Some ¡examples… ¡

Overall: ¡87 ¡new ¡ ¡ likely ¡sinkholes ¡

slide-15
SLIDE 15

N I S

etwork ntelligence ecurity

University of Georgia

  • Dept. of Computer Science

perdisci@cs.uga.edu ¡