“投资”近100万美元，Revolver Rabbit注册50万个域名进行恶意活动
内容提要
安全厂商Infoblox发现Revolver Rabbit网络犯罪团伙注册50多万个域名，通过XLoader恶意软件收集敏感信息。团伙使用注册域名生成算法进行大规模行动。Infoblox追踪团伙近一年，最近才揭露真实面目。
延伸解读
RDGAs与DGAs的关键区别
文章指出，RDGAs与恶意软件中的DGAs不同：DGAs嵌入在恶意软件中，只有部分生成的域名会被注册，而RDGAs保留在攻击者手中，所有域名都会被注册。这意味着防御方无法通过逆向恶意软件来预测C2域名，因为RDGAs是保密的，使得发现注册模式更具挑战性。这种区别增加了检测和阻断的难度。
大规模域名注册的成本与规模
Revolver Rabbit控制了50多万个.BOND顶级域名，每个.BOND域名价格约2美元，因此其在XLoader业务上的投资接近100万美元，这还不包括过去在其他顶级域名上的购买。这种投入显示了该团伙对恶意软件业务的重视，以及其大规模运营的经济实力。
域名命名模式与诱饵策略
Infoblox发现，Revolver Rabbit最常用的RDGAs模式是一系列一个或多个字典单词，后跟一个五位数字，单词或数字间用破折号分隔。这些域名通常易于阅读，并围绕特定主题或地区，如“usa-online-degree-29o.bond”或“bra-portable-air-conditioner-9o.bond”，显示出广泛的多样性，用于创建恶意软件诱饵和实时C2服务器。
追踪与揭露的挑战
Infoblox追踪Revolver Rabbit已近一年，但直到最近才弄清楚其真实面目。虽然过去也观察到类似活动，但未意识到背后有如此大的操作。研究人员还发现其RDGAs与一些已知恶意软件有联系，凸显了RDGAs作为威胁行为者工具箱中一种技术的重要性。这表明高级威胁的隐蔽性和持续追踪的必要性。
Q&A
Revolver Rabbit团伙的主要恶意活动是什么？
Revolver Rabbit团伙通过XLoader恶意软件收集Windows和macOS系统的敏感信息。
Revolver Rabbit是如何进行大规模域名注册的？
该团伙使用注册域名生成算法（RDGAs）进行大规模域名注册，所有生成的域名都会被注册。
Revolver Rabbit在其恶意活动上投资了多少资金？
Revolver Rabbit在其XLoader业务上的投资接近100万美元。
Infoblox是如何发现Revolver Rabbit的？
Infoblox追踪Revolver Rabbit近一年，最近才揭露其真实面目。
Revolver Rabbit使用的域名有什么特点？
这些域名通常由一个或多个字典单词和一个五位数的数字组成，易于阅读，且显示出广泛的多样性。
RDGAs与DGAs有什么区别？
RDGAs生成的所有域名都会被注册，而DGAs只有部分生成的域名会被注册。
