BazarLoader 的缺陷域生成算法

编辑 2020-07-19：Cyber​​eason 发表了一篇很棒的文章《A Bazar of Tricks: Following Team9’s Development Cycles》。文章显示，DGA 是 Bazar Loader 的一部分，它会尝试下载 Bazar Backdoor。因此，我将 BazarBackdoor 的大多数实例重命名为 BazarLoader。

编辑 2020-07-19 A Bazar of Tricks: Following Team9’s Development Cycles

当我分析 BazarLoader 的域生成算法时，我注意到一个生成奇怪“域”的样本：

BazarLoader 的域生成算法

^efggkzjhggm.bazaar]`egkjzeggkl.bazaar_`eigkzegigm.bazaar^`ggilzeigin.bazaarbceeijbhgeil.bazaar_acgkjzfegkl.bazaara`gggkaeiggm.bazaar`cehimzhghio.bazaar``ceikzeeeim.bazaar`edgjlzjfgjn.bazaar_ccghjzheghl.bazaara`eijjaegijl.bazaar^aegjkzfggjm.bazaara`geikaeieim.bazaar_dghhkziihhm.bazaar

^efggkzjhggm.bazaar]`egkjzeggkl.bazaar_`eigkzegigm.bazaar^`ggilzeigin.bazaarbceeijbhgeil.bazaar_acgkjzfegkl.bazaara`gggkaeiggm.bazaar`cehimzhghio.bazaar``ceikzeeeim.bazaar`edgjlzjfgjn.bazaar_ccghjzheghl.bazaara`eijjaegijl.bazaar^aegjkzfggjm.bazaara`geikaeieim.bazaar_dghhkziihhm.bazaar

有两点明显是错误的：

没有顶级域名 .bazaar。有一个波斯语顶级域名 .بازار 可以翻译为 bazaar，但这当然行不通。一些二级域名包含特殊字符，这也使它们无效。

没有顶级域名 .bazaar。有一个波斯语顶级域名 .بازار 可以翻译为 bazaar，但这当然行不通。

.bazaar

一些二级域名包含特殊字符，这也使它们无效。

第一个错误很容易解释：作者本想使用 .bazar，这是一个有效的 EmerDNS 域。第二个错误更有趣。作者一定也注意到了偶尔出现的特殊字符。但他们可能找不到根本原因，而是编写了一个解决方法，修复了一些字符，但不是全部。

.bazar

这是我查看的 DGA 损坏的示例：

MD5

18d635a8ca7caefb4f4513650a31efc9

SHA1

SHA256

大小

编译时间戳

= 0