利用恶意软件限制自动域创建

Question

如我们所知，大多数恶意软件使用DBA来设置C&C通信，创建数千个域和子域。域名由互联网指定名称和号码公司(ICANN)在最高层控制。ICANN是否可以要求所有注册方集成OTP (一次性密码)进行域注册。这意味着对于每个域名注册，注册员将发送一个OTP到一个移动和域名将得到注册后，只有在OTP认证。这应该限制自动域名注册，并可以提供一个跟踪已注册的移动号码。这是否可行呢？

Answer 1

我不确定你是否完全理解DGA如何实现恶意软件。它实际上并不注册域名--它只是生成域名，并试图联系其中的一个子集。

恶意软件作者可以生成相同的列表，并选择一两个注册，然后恶意软件可能连接到注册的尝试更新-这通常不是一个确定。例如，根据维基百科，Conficker.c每天生成50,000个域名，然后尝试访问其中的500个(例如1%)，寻找特定的响应。恶意软件作者只需要注册这500名中的1名就可以进行更新，这不会很困难，即使按照建议使用OTP方案也是如此。

这并不能确定某一给定的恶意软件实例将在某一天更新，但如果有足够长的感染周期和广泛传播的恶意软件分布，则可能会更新足够多的实例以继续造成问题。

可能可行的是由一个域名登记员来防止注册在已知恶意软件中生成的任何域。然而，这可能会鼓励恶意软件作者采用不同的技术--也许可以通过检查一个域是否可以注册，如果不能，则启动。

Answer 2

您提出的解决方案不太可能在多个方面发挥作用。

ICANN是否可以要求所有注册方集成OTP (一次性密码)进行域注册。

一年多来，我一直在处理减少滥用OTP的特殊威胁。你似乎没有意识到有多少一次性电话服务(预付费等)以及一次性VoIP解决方案(Google等)，所有这些都可以作为一个有组织的环的一部分设置，或者用一个简单的Python脚本(如@Martin假设的那样)完全自动化。然后，手机被盗，并用于OTP验证之前，所有者抓住并停止使用它。

这应该限制自动域名注册，并可以提供一个跟踪已注册的移动号码。

这当然会在一定程度上阻碍域名的自动注册，但它仍然是你可以花一个小时到尼日利亚呼叫中心的那种工作。不要自欺欺人地说，注册号码在任何地方都有，特别是在涉及国际边界的情况下。